Vertrauenswürdige Kette. CC BY-SA 4.0
Die Inspektion des SSL-Verkehrs (Entschlüsselung von SSL/TLS, SSL-Analyse oder DPI) wird im Unternehmenssektor zunehmend diskutiert. Die Idee, den Verkehr zu entschlüsseln, scheint der Grundkonzeption der Kryptografie zu widersprechen. Dennoch ist es eine Tatsache: Immer mehr Unternehmen setzen DPI-Technologien ein, was sie mit der Notwendigkeit begründen, Inhalte auf Malware, Datenlecks usw. zu überprüfen.
Nun, wenn wir als Tatsache annehmen, dass eine solche Technologie implementiert werden muss, sollten wir zumindest Wege in Betracht ziehen, dies auf die sicherste und bestmöglich verwaltete Art und Weise zu tun. Man sollte sich zum Beispiel nicht auf die Zertifikate verlassen, die man von einem DPI-Systemanbieter erhält.
Es gibt einen Aspekt der Implementierung, von dem nicht jeder weiß. Tatsächlich sind viele überrascht, wenn sie davon hören. Es handelt sich um eine private Zertifizierungsstelle (ZSt). Sie generiert Zertifikate zur Entschlüsselung und erneuten Verschlüsselung des Verkehrs.
Anstatt sich auf selbstsignierte Zertifikate oder Zertifikate von DPI-Geräten zu verlassen, können Sie eine dedizierte ZSt von einer externen Zertifizierungsstelle wie GlobalSign verwenden. Aber zunächst lassen Sie uns einen kurzen Überblick über das Problem an sich geben.
Was ist SSL-Inspektion und warum wird sie verwendet?
Immer mehr öffentliche Websites wechseln zu HTTPS. Zum Beispiel laut , wurde Anfang September 2019 der Anteil des verschlüsselten Verkehrs in Russland auf 83 % erhöht.
Leider nutzen auch Kriminelle zunehmend die Verschlüsselung des Verkehrs, zumal Let’s Encrypt tausende kostenloser SSL-Zertifikate automatisiert verteilt. Auf diese Weise wird HTTPS überall verwendet — und das Schlosssymbol in der Browser-Adressleiste ist kein zuverlässiger Sicherheitsindikator mehr.
Von diesen Perspektiven aus bewerben die Hersteller von DPI-Lösungen ihre Produkte. Sie werden zwischen den Endbenutzern (d. h. Ihren Mitarbeitern, die Webseiten aufrufen) und dem Internet implementiert und filtern bösartigen Verkehr heraus. Auf dem Markt gibt es mittlerweile eine Reihe solcher Produkte, aber die Prozesse sind im Grunde gleich. Der HTTPS-Verkehr wird durch ein Prüfgerät geleitet, wo er entschlüsselt und auf Malware überprüft wird.
Nach Abschluss der Überprüfung erstellt das Gerät eine neue SSL-Sitzung mit dem Endkunden zur Entschlüsselung und erneuten Verschlüsselung des Inhalts.
Wie der Prozess der Entschlüsselung/erneuten Verschlüsselung funktioniert
Damit das SSL-Inspektionsgerät Pakete vor der Übertragung an Endbenutzer entschlüsseln und erneut verschlüsseln kann, muss es in der Lage sein, SSL-Zertifikate on-the-fly auszustellen. Das bedeutet, dass ein Zertifikat der CA installiert sein muss.
Für das Unternehmen (oder eine andere Person, die dazwischen steht) ist es wichtig, dass diese SSL-Zertifikate in den Browsern vertraut sind (d.h. keine furchtbaren Warnmeldungen wie die folgende anzeigen). Daher muss die CA-Kette (oder Hierarchie) im Vertrauensspeicher des Browsers vorhanden sein. Da diese Zertifikate nicht von öffentlichen vertrauenswürdigen Zertifizierungsstellen ausgegeben werden, müssen die CA-Hierarchien manuell an alle Endkunden übertragen werden.
Warnmeldung für selbstsigniertes Zertifikat in Chrome. Quelle:
Auf Windows-Computern können Active Directory und Gruppenrichtlinien genutzt werden, aber für mobile Geräte ist der Prozess komplizierter.
Die Situation wird noch komplizierter, wenn in einer Unternehmensumgebung auch andere Stammzertifikate, z.B. von Microsoft oder auf Basis von OpenSSL, unterstützt werden müssen. Zudem ist der Schutz und die Verwaltung der privaten Schlüssel wichtig, um sicherzustellen, dass kein Schlüssel unerwartet abläuft.
Die beste Option: ein privates, dediziertes Stammzertifikat von einer externen CA.
Wenn die Verwaltung mehrerer Stammzertifikate oder selbstsignierter Zertifikate nicht in Betracht gezogen wird, gibt es eine andere Möglichkeit: man kann sich auf eine externe CA verlassen. In diesem Fall werden die Zertifikate von einer privaten Zertifizierungsstelle ausgestellt, die in der Vertrauenskette mit einer dedizierten, privaten Stammzertifizierungsstelle verbunden ist, die speziell für das Unternehmen eingerichtet wurde.
Vereinfachte Architektur für dedizierte Client-Stammzertifikate
Eine solche Konfiguration löst einige der zuvor genannten Probleme, indem sie zumindest die Anzahl der zu verwaltenden Wurzeln reduziert. Hier kann nur ein privater Stammzertifizierungsstelle für alle internen PKI-Bedürfnisse mit beliebig vielen Zwischenzertifizierungsstellen verwendet werden. Zum Beispiel zeigt das obige Diagramm eine mehrstufige Hierarchie, in der eine der Zwischenzertifizierungsstellen für die Überprüfung/Entschlüsselung von SSL verwendet wird, während eine andere für interne Computer (Laptops, Server, Desktop-Computer usw.) zuständig ist.
In diesem Schema muss die CA nicht auf allen Clients platziert werden, da die oberste CA bei GlobalSign gehostet wird, was die Probleme mit dem Schutz des privaten Schlüssels und der Gültigkeitsdauer löst.
Ein weiterer Vorteil dieses Ansatzes ist die Möglichkeit, ein SSL-Inspektionszertifikat aus beliebigem Grund zu widerrufen. Stattdessen wird einfach ein neues erstellt, das an Ihren ursprünglichen privaten Stamm gebunden ist, und es kann sofort genutzt werden.
Trotz aller Kontroversen setzen Unternehmen zunehmend SSL-Traffic-Inspektion als Teil ihrer internen oder privaten PKI-Infrastruktur um. Weitere Anwendungsmöglichkeiten der privaten PKI sind die Ausstellung von Zertifikaten zur Authentifizierung von Geräten oder Nutzern, SSL für interne Server sowie verschiedene Konfigurationen, die in öffentlichen vertrauenswürdigen Zertifikaten gemäß den Anforderungen des CA/Browser-Forums nicht zulässig sind.
Browser wehren sich
Es ist wichtig zu beachten, dass Browserentwickler versuchen, dieser Entwicklung entgegenzuwirken und die Endbenutzer vor MiTM-Angriffen zu schützen. Zum Beispiel hat Mozilla vor einigen Tagen den DoH (DNS-over-HTTPS) Protokollstandard standardmäßig in einer der kommenden Versionen des Browsers Firefox zu integrieren. Das DoH-Protokoll verbirgt DNS-Anfragen vor der DPI-Systematik und erschwert damit die SSL-Inspektion.
Über ähnliche Pläne berichtete am 10. September 2019 Google für den Chrome-Browser.
Nur registrierte Benutzer können an der Umfrage teilnehmen. .
Wie denken Sie, hat das Unternehmen das Recht, den SSL-Verkehr seiner Mitarbeiter zu inspizieren?
Ja, mit deren Zustimmung
Nein, eine solche Zustimmung zu erfragen ist illegal und/oder unethisch
122 Nutzer haben abgestimmt. 15 Nutzer haben sich enthalten.
Quelle: habr.com
