{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (inspekce SSL) je v rozporu s podstatou kryptografie, ale spole\u010dnosti jej implementuj\u00ed","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nD\u016fv\u011bryhodn\u00fd \u0159et\u011bzec. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

SSL inspekce provozu (de\u0161ifrov\u00e1n\u00ed SSL\/TLS, anal\u00fdza SSL nebo DPI) se st\u00e1v\u00e1 st\u00e1le v\u00edce diskutovan\u00fdm t\u00e9matem v korpor\u00e1tn\u00edm sektoru. My\u0161lenka de\u0161ifrov\u00e1n\u00ed provozu se zd\u00e1 b\u00fdt v rozporu se samotn\u00fdm konceptem kryptografie. Nicm\u00e9n\u011b fakt je fakt: \u010d\u00edm d\u00e1l v\u00edce spole\u010dnost\u00ed pou\u017e\u00edv\u00e1 technologii DPI, vysv\u011btluj\u00edce to nutnost\u00ed kontrolovat obsah na p\u0159\u00edtomnost \u0161kodliv\u00e9ho softwaru, \u00fanik\u016f dat atd.<\/p>\n

Pokud p\u0159ijmeme za fakt, \u017ee je t\u0159eba tuto technologii implementovat, m\u011bli bychom alespo\u0148 zv\u00e1\u017eit, jak to ud\u011blat co nejbezpe\u010dn\u011bj\u0161\u00edm a dob\u0159e spravovan\u00fdm zp\u016fsobem. Nem\u011bli bychom se spol\u00e9hat na certifik\u00e1ty, nap\u0159\u00edklad ty, kter\u00e9 v\u00e1m poskytuje dodavatel syst\u00e9mu DPI.<\/p>\n

Existuje jeden aspekt implementace, o kter\u00e9m ne v\u0161ichni v\u011bd\u00ed. Ve skute\u010dnosti mnoh\u00e9 p\u0159ekvap\u00ed, kdy\u017e o n\u011bm sly\u0161\u00ed. Je to soukrom\u00e9 certifika\u010dn\u00ed st\u0159edisko (CA). To generuje certifik\u00e1ty pro de\u0161ifrov\u00e1n\u00ed a op\u011btovn\u00e9 \u0161ifrov\u00e1n\u00ed provozu.
\n<\/a><\/noindex>
\nM\u00edsto spol\u00e9h\u00e1n\u00ed se na self-signed certifik\u00e1ty nebo certifik\u00e1ty z DPI za\u0159\u00edzen\u00ed m\u016f\u017eete pou\u017e\u00edt dedikovan\u00e9 CA od t\u0159et\u00edch certifika\u010dn\u00edch st\u0159edisek, jako je GlobalSign. Ale nejprve si ud\u011blejme mal\u00fd p\u0159ehled samotn\u00e9ho probl\u00e9mu.<\/p>\n

Co je SSL inspekce a pro\u010d se pou\u017e\u00edv\u00e1?<\/h2>\n

\n\u010c\u00edm d\u00e1l v\u00edce ve\u0159ejn\u00fdch webov\u00fdch str\u00e1nek p\u0159ech\u00e1z\u00ed na HTTPS. Nap\u0159\u00edklad podle statistiky Chrome<\/a><\/noindex>, na za\u010d\u00e1tku z\u00e1\u0159\u00ed 2019 dos\u00e1hla pod\u00edl \u0161ifrovan\u00e9ho provozu v Rusku 83%.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Bohu\u017eel, \u0161ifrov\u00e1n\u00ed provozu st\u00e1le \u010dast\u011bji vyu\u017e\u00edvaj\u00ed i zlo\u010dinci, t\u00edm sp\u00ed\u0161e, \u017ee Let’s Encrypt rozd\u00e1v\u00e1 tis\u00edce bezplatn\u00fdch SSL certifik\u00e1t\u016f automatizovan\u00fdm zp\u016fsobem. Tak\u017ee, HTTPS se pou\u017e\u00edv\u00e1 v\u0161ude \u2014 a ikona z\u00e1mku v adresn\u00edm \u0159\u00e1dku prohl\u00ed\u017ee\u010de p\u0159estala slou\u017eit jako spolehliv\u00fd indik\u00e1tor bezpe\u010dnosti.<\/p>\n

Z t\u011bchto pozic propaguj\u00ed sv\u016fj produkt v\u00fdrobci \u0159e\u0161en\u00ed DPI. Ta se um\u00eds\u0165uj\u00ed mezi koncov\u00fdmi u\u017eivateli (tj. va\u0161imi zam\u011bstnanci prohl\u00ed\u017eej\u00edc\u00edmi webov\u00e9 str\u00e1nky) a Internetem, filtruj\u00edce \u0161kodliv\u00fd provoz. Dnes na trhu existuje \u0159ada takov\u00fdch produkt\u016f, ale procesy jsou v podstat\u011b stejn\u00e9. Provoz HTTPS proch\u00e1z\u00ed za\u0159\u00edzen\u00edmi pro kontrolu, kde je de\u0161ifrov\u00e1n a kontrolov\u00e1n na p\u0159\u00edtomnost \u0161kodliv\u00e9ho softwaru.<\/p>\n

Po dokon\u010den\u00ed ov\u011b\u0159en\u00ed za\u0159\u00edzen\u00ed vytvo\u0159\u00ed novou SSL relaci mezi koncov\u00fdm klientem pro de\u0161ifrov\u00e1n\u00ed a op\u011btovn\u00e9 \u0161ifrov\u00e1n\u00ed obsahu.<\/p>\n

Jak funguje proces de\u0161ifrov\u00e1n\u00ed\/opakovan\u00e9ho \u0161ifrov\u00e1n\u00ed<\/h2>\n

\nAby za\u0159\u00edzen\u00ed pro SSL inspekci mohlo de\u0161ifrovat a znovu \u0161ifrovat pakety p\u0159ed jejich odesl\u00e1n\u00edm koncov\u00fdm u\u017eivatel\u016fm, mus\u00ed b\u00fdt schopn\u00e9 dynamicky vyd\u00e1vat SSL certifik\u00e1ty. To znamen\u00e1, \u017ee mus\u00ed m\u00edt nainstalovan\u00fd certifik\u00e1t CA.<\/p>\n

Pro spole\u010dnost (nebo jinou osobu ve st\u0159edu) je d\u016fle\u017eit\u00e9, aby tyto SSL certifik\u00e1ty byly d\u016fv\u011bryhodn\u00e9 v prohl\u00ed\u017ee\u010d\u00edch (tj. aby nezp\u016fsobovaly varovn\u00e1 ozn\u00e1men\u00ed, jako je uvedeno n\u00ed\u017ee). Proto mus\u00ed b\u00fdt \u0159et\u011bzec CA (nebo hierarchie) v d\u016fv\u011bryhodn\u00e9m \u00falo\u017ei\u0161ti prohl\u00ed\u017ee\u010de. Proto\u017ee tyto certifik\u00e1ty nejsou vyd\u00e1v\u00e1ny ve\u0159ejn\u011b d\u016fv\u011bryhodn\u00fdmi certifika\u010dn\u00edmi autoritami, je nutn\u00e9 manu\u00e1ln\u011b p\u0159edat hierarchie CA v\u0161em koncov\u00fdm klient\u016fm.<\/p>\n

\"DPI
\nVarovn\u00e9 ozn\u00e1men\u00ed pro self-signed certifik\u00e1t v Chrome. Zdroj: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

Na po\u010d\u00edta\u010d\u00edch s Windows lze vyu\u017e\u00edt Active Directory a skupinov\u00e9 politiky, ale u mobiln\u00edch za\u0159\u00edzen\u00ed je postup slo\u017eit\u011bj\u0161\u00ed.<\/p>\n

Situace se je\u0161t\u011b v\u00edce komplikovan\u011b, pokud je t\u0159eba v korpor\u00e1tn\u00ed prost\u0159ed\u00ed podporovat i dal\u0161\u00ed ko\u0159enov\u00e9 certifik\u00e1ty, nap\u0159\u00edklad od Microsoftu, nebo na z\u00e1klad\u011b OpenSSL. Nav\u00edc ochrana a spr\u00e1va tajn\u00fdch kl\u00ed\u010d\u016f, aby ani jeden z kl\u00ed\u010d\u016f neexpiruje ne\u010dekan\u011b.<\/p>\n

Nejlep\u0161\u00ed volba: soukrom\u00fd, vyhrazen\u00fd ko\u0159enov\u00fd certifik\u00e1t od t\u0159et\u00ed CA<\/h2>\n

\nPokud spr\u00e1va n\u011bkolika ko\u0159en\u016f nebo self-signed certifik\u00e1ty nen\u00ed atraktivn\u00ed, existuje i jin\u00e1 mo\u017enost: lze se spolehnout na t\u0159et\u00ed CA. V tomto p\u0159\u00edpad\u011b jsou certifik\u00e1ty vyd\u00e1v\u00e1ny z priv\u00e1tn\u00ed<\/b> certifika\u010dn\u00ed autority, kter\u00e1 je v \u0159et\u011bzci d\u016fv\u011bry s vyhrazen\u00fdm, soukrom\u00fdm ko\u0159enov\u00fdm certifika\u010dn\u00edm st\u0159ediskem, vytvo\u0159en\u00fdm speci\u00e1ln\u011b pro spole\u010dnost.<\/p>\n

\"DPI<\/a><\/noindex>
\nZjednodu\u0161en\u00e1 architektura pro vyhrazen\u00e9 klientsk\u00e9 ko\u0159enov\u00e9 certifik\u00e1ty<\/i><\/p>\n

Tato konfigurace eliminuje n\u011bkter\u00e9 z d\u0159\u00edve zm\u00edn\u011bn\u00fdch probl\u00e9m\u016f: alespo\u0148 sni\u017euje po\u010det ko\u0159enov\u00fdch certifik\u00e1t\u016f, kter\u00e9 je t\u0159eba spravovat. M\u016f\u017eete pou\u017e\u00edt pouze jedno soukrom\u00e9 ko\u0159enov\u00e9 centrum pro v\u0161echny intern\u00ed pot\u0159eby PKI s libovoln\u00fdm po\u010dtem mezi\u010dl\u00e1nkov\u00fdch certifika\u010dn\u00edch autorit. Nap\u0159\u00edklad na v\u00fd\u0161e uveden\u00e9m diagramu je zn\u00e1zorn\u011bna v\u00edce\u00farov\u0148ov\u00e1 hierarchie, kde je jedno mezi\u010dl\u00e1nkov\u00e9 certifika\u010dn\u00ed centrum vyu\u017e\u00edv\u00e1no pro ov\u011b\u0159ov\u00e1n\u00ed\/de\u0161ifrov\u00e1n\u00ed SSL a druh\u00e9 pro intern\u00ed po\u010d\u00edta\u010de (notebooky, servery, stoln\u00ed po\u010d\u00edta\u010de atd.).<\/p>\n

V tomto sch\u00e9matu nen\u00ed pot\u0159eba umis\u0165ovat CA na v\u0161echny klienty, proto\u017ee CA nejvy\u0161\u0161\u00ed \u00farovn\u011b je um\u00edst\u011bna u GlobalSign, co\u017e \u0159e\u0161\u00ed probl\u00e9my s ochranou soukrom\u00e9ho kl\u00ed\u010de a jeho platnost\u00ed.<\/p>\n

Dal\u0161\u00ed v\u00fdhodou tohoto p\u0159\u00edstupu je mo\u017enost odvol\u00e1n\u00ed certifika\u010dn\u00ed autority pro inspekci SSL z jak\u00e9hokoli d\u016fvodu. Nam\u00edsto toho se jednodu\u0161e vytvo\u0159\u00ed nov\u00fd, kter\u00fd je spojen s va\u0161\u00ed p\u016fvodn\u00ed soukromou ko\u0159enovou autoritou, a ten lze okam\u017eit\u011b vyu\u017e\u00edt.<\/p>\n

Navzdory v\u0161em kontroverz\u00edm st\u00e1le v\u00edce podnik\u016f zav\u00e1d\u00ed inspekci SSL dopravy jako sou\u010d\u00e1st vnit\u0159n\u00ed nebo soukrom\u00e9 infrastruktury PKI. Dal\u0161\u00ed mo\u017enosti pou\u017eit\u00ed soukrom\u00e9 PKI zahrnuj\u00ed vyd\u00e1v\u00e1n\u00ed certifik\u00e1t\u016f pro autentizaci za\u0159\u00edzen\u00ed nebo u\u017eivatel\u016f, SSL pro intern\u00ed servery a r\u016fzn\u00e9 konfigurace, kter\u00e9 nejsou povoleny v ve\u0159ejn\u011b d\u016fv\u011bryhodn\u00fdch certifik\u00e1tech podle po\u017eadavk\u016f CA\/Browser Forum.<\/p>\n

Prohl\u00ed\u017ee\u010de se br\u00e1n\u00ed<\/h2>\n

\nJe t\u0159eba poznamenat, \u017ee v\u00fdvoj\u00e1\u0159i prohl\u00ed\u017ee\u010d\u016f se sna\u017e\u00ed \u010delit tomuto trendu a chr\u00e1nit koncov\u00e9 u\u017eivatele p\u0159ed MiTM. Nap\u0159\u00edklad p\u0159ed n\u011bkolika dny Mozilla se rozhodla<\/a><\/noindex> pl\u00e1nuje ve sv\u00e9 p\u0159\u00ed\u0161t\u00ed verzi prohl\u00ed\u017ee\u010de Firefox ve v\u00fdchoz\u00edm nastaven\u00ed povolit protokol DoH (DNS-over-HTTPS). Protokol DoH skr\u00fdv\u00e1 DNS dotazy p\u0159ed syst\u00e9mu DPI, co\u017e zt\u011b\u017euje inspekci SSL.<\/p>\n

O podobn\u00fdch pl\u00e1nech 10. z\u00e1\u0159\u00ed 2019 ozn\u00e1mila<\/a><\/noindex> spole\u010dnost Google pro prohl\u00ed\u017ee\u010d Chrome.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Pouze registrovan\u00ed u\u017eivatel\u00e9 se mohou \u00fa\u010dastnit ankety. P\u0159ihlaste se<\/a><\/noindex>, pros\u00edm.<\/p>\n

Domn\u00edv\u00e1te se, \u017ee m\u00e1 spole\u010dnost pr\u00e1vo inspektovat SSL provoz sv\u00fdch zam\u011bstnanc\u016f?<\/h2>\n