{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (SSL-inspektion) er i modstrid med meningen med kryptering, men virksomheder implementerer det","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nTillidk\u00e6de. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

SSL-trafikinspektion (SSL\/TLS-dekryptering, SSL-analyse eller DPI) bliver et stadig mere omdiskuteret emne i erhvervslivet. Id\u00e9en om at dekryptere trafik synes at strid imod selve konceptet for kryptografi. Men fakta er fakta: Flere og flere virksomheder anvender DPI-teknologier og retf\u00e6rdigg\u00f8r det med n\u00f8dvendigheden af at kontrollere indholdet for malware, datal\u00e6kager osv.<\/p>\n

N\u00e5, hvis vi tager for givet, at det er n\u00f8dvendigt at implementere en s\u00e5dan teknologi, b\u00f8r vi i det mindste overveje m\u00e5der at g\u00f8re det p\u00e5 den mest sikre og velstyrede m\u00e5de. Lad v\u00e6re med at stole p\u00e5 de certifikater, som din DPI-systemleverand\u00f8r giver dig, for eksempel.<\/p>\n

Der er et aspekt af implementeringen, som ikke alle kender til. Mange bliver faktisk overraskede, n\u00e5r de h\u00f8rer om det. Det er et privat certifikatcenter (CA). Det genererer certifikater til dekryptering og genkryptering af trafik.
\n<\/a><\/noindex>
\nI stedet for at stole p\u00e5 selv-signede certifikater eller certifikater fra DPI-enheder kan du bruge et dedikeret CA fra et tredjeparts certifikatcenter som GlobalSign. Men lad os f\u00f8rst tage et kort kig p\u00e5 selve problemet.<\/p>\n

Hvad er SSL-inspektion, og hvorfor bruges det?<\/h2>\n

\nFlere offentlige hjemmesider skifter til HTTPS. For eksempel if\u00f8lge statistikker fra Chrome<\/a><\/noindex>, i begyndelsen af september 2019 n\u00e5ede andelen af krypteret trafik i Rusland 83%.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Desv\u00e6rre anvender kriminelle i stigende grad trafikverschl\u00fcsselung, is\u00e6r da Let’s Encrypt uddeler gratis SSL-certifikater i tusindvis i automatiseret drift. Dermed bruges HTTPS overalt \u2014 og l\u00e5sen i adresselinjen i browseren er ikke l\u00e6ngere en p\u00e5lidelig indikator for sikkerhed.<\/p>\n

Fra disse perspektiver promoverer DPI-l\u00f8sningens producenter deres produkter. De integreres mellem slutbrugerne (dvs. dine medarbejdere, der bes\u00f8ger websider) og internettet og filtrerer skadelig trafik. Der findes i \u00f8jeblikket en r\u00e6kke s\u00e5danne produkter p\u00e5 markedet, men processerne er stort set ens. HTTPS-trafik passerer gennem kontrolenheden, hvor den dekrypteres og kontrolleres for malware.<\/p>\n

Efter afslutningen af kontrollen opretter enheden en ny SSL-session med den endelige kunde for dekryptering og genkryptering af indhold.<\/p>\n

Hvordan fungerer dekrypterings-\/genkrypteringsprocessen?<\/h2>\n

\nFor at SSL-inspektionsenheden kan dekryptere og genkryptere pakker, f\u00f8r de sendes til slutbrugerne, skal den v\u00e6re i stand til at udstede SSL-certifikater on-the-fly. Det betyder, at der skal v\u00e6re installeret et CA-certifikat p\u00e5 den.<\/p>\n

For en virksomhed (eller en anden mellemmand) er det vigtigt, at disse SSL-certifikater er betroede i browsere (dvs. ikke for\u00e5rsager skr\u00e6mmende advarselsmeddelelser som den nedenfor). Derfor skal CA-k\u00e6den (eller hierarkiet) v\u00e6re i browserens tillidsholder. Da disse certifikater ikke udstedes fra offentlige betroede certifikatcentre, er det n\u00f8dvendigt at overf\u00f8re CA-hierarkier manuelt til alle slutkunder.<\/p>\n

\"DPI
\nAdvarselsmeddelelse for et selvsigneret certifikat i Chrome. Kilde: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

P\u00e5 Windows-computere kan Active Directory og gruppepolitikker bruges, men proceduren er mere kompliceret for mobile enheder.<\/p>\n

Situation bliver endnu mere kompliceret, hvis det er n\u00f8dvendigt at underst\u00f8tte andre rodcertifikater i det virksomhedseldede milj\u00f8, f.eks. fra Microsoft, eller baseret p\u00e5 OpenSSL. Plus beskyttelse af hemmelige n\u00f8gler og administration af dem, s\u00e5 en hvilken som helst af n\u00f8glerne ikke pludselig udl\u00f8ber.<\/p>\n

Den bedste l\u00f8sning: et privat, dedikeret rodcertifikat fra en tredjeparts CA.<\/h2>\n

\nHvis h\u00e5ndtering af flere r\u00f8dder eller selvsignerede certifikater ikke er tiltalende, er der ogs\u00e5 en anden mulighed: man kan stole p\u00e5 en tredjeparts CA. I s\u00e5 fald udstedes certifikater fra den private<\/b> certificeringsmyndighed, der er knyttet i tillidsk\u00e6den med det dedikerede, private rodcertifikat, der er oprettet specielt til virksomheden.<\/p>\n

\"DPI<\/a><\/noindex>
\nForenklet arkitektur for dedikerede kunde-r\u00f8dcertifikater.<\/i><\/p>\n

Denne ops\u00e6tning eliminerer nogle af de problemer, der blev n\u00e6vnt tidligere: det mindsker i det mindste antallet af r\u00f8dder, der skal forvaltes. Her kan kun \u00e9n privat rodcertifikatmyndighed bruges til alle interne behov i PKI med et hvilket som helst antal mellemliggende certifikatmyndigheder. For eksempel er der p\u00e5 ovenst\u00e5ende diagram vist en fler-niveau hierarki, hvor en af de mellemliggende certifikatmyndigheder bruges til at validere\/afkode SSL, og en anden til interne computere (b\u00e6rbare, servere, station\u00e6re computere osv.).<\/p>\n

I dette setup er det ikke n\u00f8dvendigt at have certifikatmyndigheder p\u00e5 alle klienter, fordi den \u00f8verste certifikatmyndighed er placeret hos GlobalSign, hvilket l\u00f8ser problemerne med beskyttelse af den private n\u00f8gle og gyldighedsperioden.<\/p>\n

En anden fordel ved denne tilgang er muligheden for at tilbagekalde certifikatmyndigheden for SSL-inspektion af enhver grund. I stedet oprettes der blot en ny, som knyttes til din oprindelige private rod, og den kan bruges med det samme.<\/p>\n

P\u00e5 trods af alle modsigelser implementerer virksomheder i stigende grad SSL-inspektion af trafik som en del af intern eller privat PKI-infrastruktur. Andre anvendelsesmuligheder for privat PKI inkluderer udstedelse af certifikater til autentificering af enheder eller brugere, SSL til interne servere samt forskellige konfigurationer, der ikke er tilladt i offentligt betroede certifikater if\u00f8lge kravene fra CA\/Browser Forum.<\/p>\n

Browserne mods\u00e6tter sig<\/h2>\n

\nDet skal bem\u00e6rkes, at browserudviklere fors\u00f8ger at modvirke denne tendens og beskytte slutbrugerne mod MiTM. For eksempel for nylig, Mozilla de besluttede<\/a><\/noindex> vil aktivere DoH-protokollen (DNS-over-HTTPS) som standard i en af de kommende versioner af Firefox-browseren. DoH-protokollen skjuler DNS-foresp\u00f8rgsler fra DPI-systemet, hvilket g\u00f8r SSL-inspektion vanskeligere.<\/p>\n

Om lignende planer den 10. september 2019 har annonceret<\/a><\/noindex> Google for Chrome-browseren.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Kun registrerede brugere kan deltage i unders\u00f8gelsen. Log ind<\/a><\/noindex>, please.<\/p>\n

Hvad mener du, har virksomheden ret til at inspicere SSL-trafikken for deres medarbejdere?<\/h2>\n