{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (SSL-Inspektion) widerspricht dem Wesen der Kryptografie, doch Unternehmen setzen es zunehmend ein.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nVertrauensw\u00fcrdigkeit. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

Die SSL-Traffic-Inspektion (Entschl\u00fcsselung von SSL\/TLS, SSL-Analyse oder DPI) wird im Unternehmenssektor zunehmend ein hei\u00dfes Diskussionsthema. Die Idee der Entschl\u00fcsselung von Traffic scheint dem Konzept der Kryptografie zu widersprechen. Dennoch ist die Tatsache, dass immer mehr Unternehmen DPI-Technologien nutzen, um Inhalte auf Malware, Datenlecks usw. zu \u00fcberpr\u00fcfen.<\/p>\n

Wenn man die Notwendigkeit dieser Technologie akzeptiert, sollte man zumindest erw\u00e4gen, wie man sie auf die sicherste und am besten verwaltete Weise implementieren kann. Man sollte sich nicht auf die Zertifikate verlassen, die man beispielsweise von seinem DPI-Systemanbieter erh\u00e4lt.<\/p>\n

Ein Aspekt der Implementierung, von dem nicht jeder wei\u00df, ist das private Zertifizierungszentrum (ZC). Es generiert Zertifikate zur Entschl\u00fcsselung und erneuten Verschl\u00fcsselung des Traffics.
\n<\/a><\/noindex>
\nAnstatt sich auf selbstsignierte Zertifikate oder Zertifikate von DPI-Ger\u00e4ten zu verlassen, k\u00f6nnen Sie ein dediziertes CA von einem Drittanbieter-Zertifizierungszentrum wie GlobalSign verwenden. Lassen Sie uns jedoch zun\u00e4chst einen kurzen \u00dcberblick \u00fcber das eigentliche Problem geben.<\/p>\n

Was ist SSL-Inspektion und warum wird sie eingesetzt?<\/h2>\n

\nImmer mehr \u00f6ffentliche Webseiten wechseln zu HTTPS. Zum Beispiel zeigt die Chrome-Statistik<\/a><\/noindex>, dass im September 2019 der Anteil des verschl\u00fcsselten Verkehrs in Russland 83% erreichte.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Leider nutzen zunehmend auch Kriminelle die Verschl\u00fcsselung des Datenverkehrs, zumal Let's Encrypt tausende von kostenlosen SSL-Zertifikaten automatisiert bereitstellt. So wird HTTPS \u00fcberall verwendet \u2013 und das Schloss-Symbol in der Adressleiste des Browsers ist kein zuverl\u00e4ssiger Sicherheitsindikator mehr.<\/p>\n

Basierend auf diesen Punkten vermarkten Hersteller von DPI-L\u00f6sungen ihr Produkt. Sie werden zwischen den Endbenutzern (also Ihren Mitarbeitern, die Webseiten besuchen) und dem Internet implementiert, um sch\u00e4dlichen Datenverkehr herauszufiltern. Derzeit gibt es eine Reihe solcher Produkte auf dem Markt, aber die Prozesse sind im Wesentlichen identisch. Der HTTPS-Verkehr durchl\u00e4uft ein Pr\u00fcfger\u00e4t, wo er entschl\u00fcsselt und auf Malware \u00fcberpr\u00fcft wird.<\/p>\n

Nach Abschluss der \u00dcberpr\u00fcfung erstellt das Ger\u00e4t eine neue SSL-Sitzung mit dem Endkunden zum Entschl\u00fcsseln und erneuten Verschl\u00fcsseln des Inhalts.<\/p>\n

Wie der Entschl\u00fcsselungs-\/Wiederverschl\u00fcsselungsprozess funktioniert<\/h2>\n

\nDamit das SSL-Inspektionsger\u00e4t Pakete vor dem Versand an die Endbenutzer entschl\u00fcsseln und erneut verschl\u00fcsseln kann, muss es in der Lage sein, SSL-Zertifikate in Echtzeit auszustellen. Das bedeutet, dass ein g\u00fcltiges CA-Zertifikat installiert sein muss.<\/p>\n

F\u00fcr Unternehmen (oder andere Personen im Inneren) ist es wichtig, dass diese SSL-Zertifikate von Browsern als vertrauensw\u00fcrdig erkannt werden (d. h. keine erschreckenden Warnmeldungen wie die folgende verursachen). Daher muss die CA-Kette (oder Hierarchie) im Vertrauensspeicher des Browsers vorhanden sein. Da diese Zertifikate nicht von \u00f6ffentlichen, vertrauensw\u00fcrdigen Zertifizierungsstellen ausgestellt werden, ist es notwendig, die Hierarchien manuell an alle Endkunden zu \u00fcbertragen.<\/p>\n

\"DPI
\nWarnmeldung f\u00fcr ein selbstsigniertes Zertifikat in Chrome. Quelle: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

Auf Windows-Computern k\u00f6nnen Sie Active Directory und Gruppenrichtlinien verwenden, aber die Vorgehensweise f\u00fcr mobile Ger\u00e4te ist komplizierter.<\/p>\n

Die Situation wird noch schwieriger, wenn in einer Unternehmensumgebung auch andere Root-Zertifikate unterst\u00fctzt werden m\u00fcssen, beispielsweise von Microsoft oder basierend auf OpenSSL. Dar\u00fcber hinaus m\u00fcssen die geheimen Schl\u00fcssel gesch\u00fctzt und verwaltet werden, um zu verhindern, dass einer dieser Schl\u00fcssel unerwartet abl\u00e4uft.<\/p>\n

Die beste Option: Ein privates, dediziertes Root-Zertifikat von einer externen CA.<\/h2>\n

\nWenn das Management mehrerer Wurzeln oder selbstsignierter Zertifikate nicht ansprechend ist, gibt es eine andere M\u00f6glichkeit: Sie k\u00f6nnen sich auf eine externe Zertifizierungsstelle (CS) verlassen. In diesem Fall werden die Zertifikate von einer privaten<\/b> Zertifizierungsstelle ausgegeben, die in der Vertrauenshierarchie mit einer dedizierten, privaten Wurzelzertifizierungsstelle verbunden ist, die speziell f\u00fcr das Unternehmen eingerichtet wurde.<\/p>\n

\"DPI<\/a><\/noindex>
\nVereinfachte Architektur f\u00fcr dedizierte clientbasierte Wurzelsignaturzertifikate<\/i><\/p>\n

Eine solche Konfiguration beseitigt einige der zuvor genannten Probleme: Sie reduziert zumindest die Anzahl der Wurzeln, die verwaltet werden m\u00fcssen. Hier kann nur eine private Wurzelzertifizierungsstelle f\u00fcr alle internen PKI-Bed\u00fcrfnisse mit beliebig vielen Zwischenzertifizierungsstellen verwendet werden. Zum Beispiel zeigt das obige Diagramm eine mehrstufige Hierarchie, in der eine der Zwischenzertifizierungsstellen zur \u00dcberpr\u00fcfung\/Entschl\u00fcsselung von SSL verwendet wird, w\u00e4hrend eine andere f\u00fcr interne Computer (Laptops, Server, Desktop-PCs usw.) genutzt wird.<\/p>\n

In diesem Schema muss nicht auf allen Clients eine CA platziert werden, da die oberste CA bei GlobalSign gehostet wird. Dies l\u00f6st Probleme mit dem Schutz des privaten Schl\u00fcssels und der G\u00fcltigkeitsdauer.<\/p>\n

Ein weiterer Vorteil dieses Ansatzes ist die M\u00f6glichkeit, das SSL-Inspektionszertifikat aus beliebigem Grund zu widerrufen. Stattdessen wird einfach ein neues erstellt, das an Ihren urspr\u00fcnglichen privaten Root gebunden ist und sofort verwendet werden kann.<\/p>\n

Trotz aller Kontroversen setzen Unternehmen zunehmend SSL-Traffic-Inspektionen als Teil ihrer internen oder privaten PKI-Infrastruktur ein. Weitere Anwendungsf\u00e4lle f\u00fcr private PKI sind die Ausstellung von Zertifikaten zur Authentifizierung von Ger\u00e4ten oder Benutzern, SSL f\u00fcr interne Server sowie verschiedene Konfigurationen, die gem\u00e4\u00df den Anforderungen des CA\/Browser-Forums in \u00f6ffentlich vertrauensw\u00fcrdigen Zertifikaten nicht erlaubt sind.<\/p>\n

Browser wehren sich<\/h2>\n

\nEs ist anzumerken, dass Browserentwickler versuchen, dieser Tendenz entgegenzuwirken und die Endbenutzer vor MiTM-Angriffen zu sch\u00fctzen. Zum Beispiel hat Mozilla vor einigen Tagen ... hat entschieden,<\/a><\/noindex> Aktivieren Sie standardm\u00e4\u00dfig das DoH-Protokoll (DNS-over-HTTPS) in einer der folgenden Browserversionen in Firefox. Das DoH-Protokoll verbirgt DNS-Anfragen vor DPI-Systemen und erschwert damit die SSL-Inspektion.<\/p>\n

\u00c4hnliche Pl\u00e4ne am 10. September 2019 hat bekannt gegeben<\/a><\/noindex> von Google f\u00fcr den Browser Chrome.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Nur registrierte Benutzer k\u00f6nnen an der Umfrage teilnehmen. Bitte melden Sie sich an.<\/a><\/noindex>Sind Sie an Contour interessiert?<\/p>\n

Was denken Sie, hat das Unternehmen das Recht, SSL-Traffic seiner Mitarbeiter zu inspizieren?<\/h2>\n