মোজিলা সমস্যাযুক্ত TLS শংসাপত্র পরীক্ষা করার জন্য CRLite প্রয়োগ করে

মজিলা কোম্পানি ঘোষণা ফায়ারফক্সের রাত্রিকালীন বিল্ডগুলিতে পরীক্ষা শুরু করার বিষয়ে প্রত্যাহার করা শংসাপত্রগুলি সনাক্ত করার জন্য একটি নতুন প্রক্রিয়া - সিআরলাইট. CRLite আপনাকে ব্যবহারকারীর সিস্টেমে হোস্ট করা একটি ডাটাবেসের বিরুদ্ধে কার্যকর শংসাপত্র প্রত্যাহার চেকিং সংগঠিত করার অনুমতি দেয়। মজিলার সিআরলাইট বাস্তবায়ন প্রকাশিত বিনামূল্যে MPL 2.0 লাইসেন্সের অধীনে। ডাটাবেস এবং সার্ভার উপাদান তৈরি করার জন্য কোড লেখা আছে পাইথন এবং যান. ডাটাবেস থেকে ডেটা পড়ার জন্য ফায়ারফক্সে ক্লায়েন্টের অংশ যোগ করা হয়েছে প্রস্তুত মরিচা ভাষায়।

এখনও ব্যবহৃত প্রোটোকলের উপর ভিত্তি করে বহিরাগত পরিষেবাগুলি ব্যবহার করে শংসাপত্র যাচাইকরণ৷ ওসিএসপি (অনলাইন সার্টিফিকেট স্ট্যাটাস প্রোটোকল) গ্যারান্টিযুক্ত নেটওয়ার্ক অ্যাক্সেসের প্রয়োজন, অনুরোধ প্রক্রিয়াকরণে একটি উল্লেখযোগ্য বিলম্বের দিকে পরিচালিত করে (গড়ে 350ms) এবং গোপনীয়তা নিশ্চিত করতে সমস্যা রয়েছে (অনুরোধের প্রতিক্রিয়া জানা OCSP সার্ভারগুলি নির্দিষ্ট শংসাপত্র সম্পর্কে তথ্য পায়, যা বিচার করতে ব্যবহার করা যেতে পারে কি কি না। সাইটগুলি ব্যবহারকারী খোলে)। তালিকার বিরুদ্ধে স্থানীয় চেকিংয়ের সম্ভাবনাও রয়েছে সিআরএল (শংসাপত্র প্রত্যাহার তালিকা), তবে এই পদ্ধতির অসুবিধা হল ডাউনলোড করা ডেটার খুব বড় আকার - বর্তমানে প্রত্যাহার করা শংসাপত্রের ডাটাবেস প্রায় 300 MB দখল করে এবং এর বৃদ্ধি অব্যাহত রয়েছে।

শংসাপত্র কর্তৃপক্ষের দ্বারা আপস করা এবং প্রত্যাহার করা শংসাপত্রগুলিকে ব্লক করতে, ফায়ারফক্স 2015 সাল থেকে একটি কেন্দ্রীয় কালো তালিকা ব্যবহার করেছে OneCRL পরিষেবার জন্য কলের সাথে একত্রে গুগল সেফ ব্রাউজিং সম্ভাব্য দূষিত কার্যকলাপ সনাক্ত করতে। OneCRL, মত সিআরএলসেট Chrome-এ, একটি মধ্যবর্তী লিঙ্ক হিসাবে কাজ করে যা সার্টিফিকেশন কর্তৃপক্ষের কাছ থেকে CRL তালিকাগুলিকে একত্রিত করে এবং প্রত্যাহার করা শংসাপত্রগুলি পরীক্ষা করার জন্য একটি একক কেন্দ্রীভূত OCSP পরিষেবা প্রদান করে, যাতে সরাসরি সার্টিফিকেশন কর্তৃপক্ষের কাছে অনুরোধগুলি পাঠানো সম্ভব না হয়৷ অনলাইন শংসাপত্র যাচাইকরণ পরিষেবার নির্ভরযোগ্যতা উন্নত করার জন্য অনেক কাজ করা সত্ত্বেও, টেলিমেট্রি ডেটা দেখায় যে OCSP-এর 7% এরও বেশি সময় শেষ হওয়ার অনুরোধ করে (কয়েক বছর আগে এই সংখ্যাটি ছিল 15%)।

ডিফল্টরূপে, OCSP এর মাধ্যমে যাচাই করা অসম্ভব হলে, ব্রাউজার শংসাপত্রটিকে বৈধ বলে মনে করে। নেটওয়ার্ক সমস্যা এবং অভ্যন্তরীণ নেটওয়ার্কগুলিতে বিধিনিষেধের কারণে পরিষেবাটি অনুপলব্ধ হতে পারে, বা আক্রমণকারীদের দ্বারা অবরুদ্ধ - একটি MITM আক্রমণের সময় OCSP চেক বাইপাস করার জন্য, চেক পরিষেবাতে অ্যাক্সেস ব্লক করুন। আংশিকভাবে এই ধরনের আক্রমণ প্রতিরোধ করার জন্য, একটি কৌশল প্রয়োগ করা হয়েছে মাস্ট-স্ট্যাপল, যা আপনাকে একটি OCSP অ্যাক্সেস ত্রুটি বা OCSP অনুপলব্ধতাকে শংসাপত্রের সমস্যা হিসাবে বিবেচনা করতে দেয়, তবে এই বৈশিষ্ট্যটি ঐচ্ছিক এবং শংসাপত্রের বিশেষ নিবন্ধন প্রয়োজন৷

CRLite আপনাকে সমস্ত প্রত্যাহার করা শংসাপত্র সম্পর্কে সম্পূর্ণ তথ্য একটি সহজে আপডেট করা কাঠামোতে একত্রিত করতে দেয়, মাত্র 1 MB আকারের, যা ক্লায়েন্টের পাশে একটি সম্পূর্ণ CRL ডাটাবেস সংরক্ষণ করা সম্ভব করে।
ব্রাউজারটি প্রতিদিন প্রত্যাহার করা শংসাপত্র সম্পর্কে ডেটার তার অনুলিপি সিঙ্ক্রোনাইজ করতে সক্ষম হবে এবং এই ডাটাবেসটি যে কোনও শর্তে উপলব্ধ হবে৷

CRLite থেকে তথ্য একত্রিত করে শংসাপত্রের স্বচ্ছতা, সমস্ত জারি করা এবং প্রত্যাহার করা শংসাপত্রের একটি সর্বজনীন লগ, এবং ইন্টারনেটে শংসাপত্র স্ক্যান করার ফলাফল (শংসাপত্র কর্তৃপক্ষের বিভিন্ন CRL তালিকা সংগ্রহ করা হয় এবং সমস্ত পরিচিত শংসাপত্র সম্পর্কে তথ্য একত্রিত করা হয়)। ক্যাসকেডিং ব্যবহার করে ডেটা প্যাকেজ করা হয় ব্লুম ফিল্টার, একটি সম্ভাব্য কাঠামো যা একটি অনুপস্থিত উপাদানের একটি মিথ্যা সনাক্তকরণের অনুমতি দেয়, কিন্তু একটি বিদ্যমান উপাদানের বাদ দেওয়াকে বাদ দেয় (অর্থাৎ, একটি নির্দিষ্ট সম্ভাব্যতার সাথে, একটি সঠিক শংসাপত্রের জন্য একটি মিথ্যা পজিটিভ সম্ভব, কিন্তু প্রত্যাহার করা শংসাপত্রগুলি সনাক্ত করা নিশ্চিত করা হয়)৷

মিথ্যা ইতিবাচক দূর করতে, CRLite অতিরিক্ত সংশোধনমূলক ফিল্টার স্তর চালু করেছে। গঠন তৈরি করার পরে, সমস্ত উৎস রেকর্ড অনুসন্ধান করা হয় এবং কোনো মিথ্যা ইতিবাচক চিহ্নিত করা হয়। এই চেকের ফলাফলের উপর ভিত্তি করে, একটি অতিরিক্ত কাঠামো তৈরি করা হয়, যা প্রথমটির উপরে ক্যাসকেড করা হয় এবং ফলস্বরূপ মিথ্যা ইতিবাচক সংশোধন করে। নিয়ন্ত্রণ চেকের সময় মিথ্যা ইতিবাচক সম্পূর্ণরূপে নির্মূল না হওয়া পর্যন্ত অপারেশন পুনরাবৃত্তি করা হয়। সাধারণত, 7-10 স্তর তৈরি করা সমস্ত ডেটা সম্পূর্ণরূপে কভার করার জন্য যথেষ্ট। যেহেতু ডাটাবেসের অবস্থা, পর্যায়ক্রমিক সিঙ্ক্রোনাইজেশনের কারণে, CRL-এর বর্তমান অবস্থা থেকে কিছুটা পিছিয়ে আছে, CRLite ডাটাবেসের শেষ আপডেটের পরে ইস্যু করা নতুন শংসাপত্রের পরীক্ষা OCSP প্রোটোকল ব্যবহার করে করা হয়, OCSP স্ট্যাপলিং (একটি সার্টিফিকেশন কর্তৃপক্ষ দ্বারা প্রত্যয়িত একটি OCSP প্রতিক্রিয়া সাইটটি পরিবেশনকারী সার্ভার দ্বারা প্রেরণ করা হয় যখন একটি TLS সংযোগ নিয়ে আলোচনা করা হয়)।

ব্লুম ফিল্টার ব্যবহার করে, WebPKI থেকে 100 মিলিয়ন সক্রিয় শংসাপত্র এবং 750 হাজার প্রত্যাহার করা শংসাপত্রগুলিকে কভার করে ডিসেম্বরের তথ্যের স্লাইস 1.3 MB আকারের কাঠামোতে প্যাক করা সম্ভব হয়েছিল৷ কাঠামো তৈরির প্রক্রিয়াটি বেশ সম্পদ-নিবিড়, তবে এটি মোজিলা সার্ভারে সঞ্চালিত হয় এবং ব্যবহারকারীকে একটি রেডিমেড আপডেট দেওয়া হয়। উদাহরণস্বরূপ, বাইনারি আকারে, রেডিস ডিবিএমএস-এ সংরক্ষণ করার সময় প্রজন্মের সময় ব্যবহৃত উত্স ডেটার জন্য প্রায় 16 গিগাবাইট মেমরির প্রয়োজন হয় এবং হেক্সাডেসিমেল আকারে, সমস্ত শংসাপত্রের সিরিয়াল নম্বরগুলির একটি ডাম্প প্রায় 6.7 জিবি লাগে। সমস্ত প্রত্যাহার করা এবং সক্রিয় শংসাপত্রগুলিকে একত্রিত করার প্রক্রিয়াটি প্রায় 40 মিনিট সময় নেয় এবং ব্লুম ফিল্টারের উপর ভিত্তি করে একটি প্যাকেজ করা কাঠামো তৈরি করতে আরও 20 মিনিট সময় লাগে৷

Mozilla বর্তমানে নিশ্চিত করে যে CRLite ডাটাবেস দিনে চারবার আপডেট হয় (সমস্ত আপডেট ক্লায়েন্টদের কাছে বিতরণ করা হয় না)। ডেল্টা আপডেটের জেনারেশন এখনও বাস্তবায়িত হয়নি - bsdiff4 ব্যবহার, রিলিজের জন্য ডেল্টা আপডেট তৈরি করতে ব্যবহৃত, CRLite-এর জন্য পর্যাপ্ত দক্ষতা প্রদান করে না এবং আপডেটগুলি অযৌক্তিকভাবে বড়। এই ত্রুটি দূর করার জন্য, অপ্রয়োজনীয় পুনর্নির্মাণ এবং স্তরগুলি মুছে ফেলার জন্য স্টোরেজ কাঠামোর বিন্যাসটি পুনরায় কাজ করার পরিকল্পনা করা হয়েছে।

CRLite বর্তমানে ফায়ারফক্সে প্যাসিভ মোডে কাজ করে এবং সঠিক অপারেশন সম্পর্কে পরিসংখ্যান সংগ্রহ করতে OCSP এর সমান্তরালে ব্যবহৃত হয়। CRLite প্রধান স্ক্যান মোডে সুইচ করা যেতে পারে; এটি করার জন্য, আপনাকে নিরাপত্তা.pki.crlite_mode = 2 প্যারামিটারটি about:config-এ সেট করতে হবে।

উত্স: opennet.ru