{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (SSL-Inspektion) widerspricht dem Sinn der Kryptographie, doch Unternehmen implementieren sie.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nVertrauensw\u00fcrdige Kette. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

Die Inspektion des SSL-Verkehrs (Entschl\u00fcsselung von SSL\/TLS, SSL-Analyse oder DPI) wird im Unternehmenssektor zunehmend diskutiert. Die Idee, den Verkehr zu entschl\u00fcsseln, scheint der Grundkonzeption der Kryptografie zu widersprechen. Dennoch ist es eine Tatsache: Immer mehr Unternehmen setzen DPI-Technologien ein, was sie mit der Notwendigkeit begr\u00fcnden, Inhalte auf Malware, Datenlecks usw. zu \u00fcberpr\u00fcfen.<\/p>\n

Nun, wenn wir als Tatsache annehmen, dass eine solche Technologie implementiert werden muss, sollten wir zumindest Wege in Betracht ziehen, dies auf die sicherste und bestm\u00f6glich verwaltete Art und Weise zu tun. Man sollte sich zum Beispiel nicht auf die Zertifikate verlassen, die man von einem DPI-Systemanbieter erh\u00e4lt.<\/p>\n

Es gibt einen Aspekt der Implementierung, von dem nicht jeder wei\u00df. Tats\u00e4chlich sind viele \u00fcberrascht, wenn sie davon h\u00f6ren. Es handelt sich um eine private Zertifizierungsstelle (ZSt). Sie generiert Zertifikate zur Entschl\u00fcsselung und erneuten Verschl\u00fcsselung des Verkehrs.
\n<\/a><\/noindex>
\nAnstatt sich auf selbstsignierte Zertifikate oder Zertifikate von DPI-Ger\u00e4ten zu verlassen, k\u00f6nnen Sie eine dedizierte ZSt von einer externen Zertifizierungsstelle wie GlobalSign verwenden. Aber zun\u00e4chst lassen Sie uns einen kurzen \u00dcberblick \u00fcber das Problem an sich geben.<\/p>\n

Was ist SSL-Inspektion und warum wird sie verwendet?<\/h2>\n

\nImmer mehr \u00f6ffentliche Websites wechseln zu HTTPS. Zum Beispiel laut Chrome-Statistik<\/a><\/noindex>, wurde Anfang September 2019 der Anteil des verschl\u00fcsselten Verkehrs in Russland auf 83 % erh\u00f6ht.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Leider wird die Verschl\u00fcsselung des Datenverkehrs zunehmend auch von Cyberkriminellen missbraucht, zumal Let's Encrypt kostenlose SSL-Zertifikate automatisiert in gro\u00dfer Zahl verteilt. Somit wird HTTPS \u00fcberall verwendet \u2014 das Schloss-Symbol in der Adresszeile des Browsers dient nicht mehr als zuverl\u00e4ssiger Sicherheitsindikator.<\/p>\n

Von diesen Perspektiven aus bewerben die Hersteller von DPI-L\u00f6sungen ihre Produkte. Sie werden zwischen den Endbenutzern (d. h. Ihren Mitarbeitern, die Webseiten aufrufen) und dem Internet implementiert und filtern b\u00f6sartigen Verkehr heraus. Auf dem Markt gibt es mittlerweile eine Reihe solcher Produkte, aber die Prozesse sind im Grunde gleich. Der HTTPS-Verkehr wird durch ein Pr\u00fcfger\u00e4t geleitet, wo er entschl\u00fcsselt und auf Malware \u00fcberpr\u00fcft wird.<\/p>\n

Nach Abschluss der \u00dcberpr\u00fcfung erstellt das Ger\u00e4t eine neue SSL-Sitzung mit dem Endkunden zur Entschl\u00fcsselung und erneuten Verschl\u00fcsselung des Inhalts.<\/p>\n

Wie der Prozess der Entschl\u00fcsselung\/erneuten Verschl\u00fcsselung funktioniert<\/h2>\n

\nDamit das SSL-Inspektionsger\u00e4t Pakete vor der \u00dcbertragung an Endbenutzer entschl\u00fcsseln und erneut verschl\u00fcsseln kann, muss es in der Lage sein, SSL-Zertifikate on-the-fly auszustellen. Das bedeutet, dass ein Zertifikat der CA installiert sein muss.<\/p>\n

F\u00fcr das Unternehmen (oder eine andere Person, die dazwischen steht) ist es wichtig, dass diese SSL-Zertifikate in den Browsern vertraut sind (d.h. keine furchtbaren Warnmeldungen wie die folgende anzeigen). Daher muss die CA-Kette (oder Hierarchie) im Vertrauensspeicher des Browsers vorhanden sein. Da diese Zertifikate nicht von \u00f6ffentlichen vertrauensw\u00fcrdigen Zertifizierungsstellen ausgegeben werden, m\u00fcssen die CA-Hierarchien manuell an alle Endkunden \u00fcbertragen werden.<\/p>\n

\"DPI
\nWarnmeldung f\u00fcr selbstsigniertes Zertifikat in Chrome. Quelle: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

Auf Windows-Computern k\u00f6nnen Active Directory und Gruppenrichtlinien genutzt werden, aber f\u00fcr mobile Ger\u00e4te ist der Prozess komplizierter.<\/p>\n

Die Situation wird noch komplizierter, wenn in einer Unternehmensumgebung auch andere Stammzertifikate, z.B. von Microsoft oder auf Basis von OpenSSL, unterst\u00fctzt werden m\u00fcssen. Zudem ist der Schutz und die Verwaltung der privaten Schl\u00fcssel wichtig, um sicherzustellen, dass kein Schl\u00fcssel unerwartet abl\u00e4uft.<\/p>\n

Die beste Option: ein privates, dediziertes Stammzertifikat von einer externen CA.<\/h2>\n

\nWenn die Verwaltung mehrerer Stammzertifikate oder selbstsignierter Zertifikate nicht in Betracht gezogen wird, gibt es eine andere M\u00f6glichkeit: man kann sich auf eine externe CA verlassen. In diesem Fall werden die Zertifikate von einer privaten<\/b> Zertifizierungsstelle ausgestellt, die in der Vertrauenskette mit einer dedizierten, privaten Stammzertifizierungsstelle verbunden ist, die speziell f\u00fcr das Unternehmen eingerichtet wurde.<\/p>\n

\"DPI<\/a><\/noindex>
\nVereinfachte Architektur f\u00fcr dedizierte Client-Stammzertifikate<\/i><\/p>\n

Eine solche Konfiguration l\u00f6st einige der zuvor genannten Probleme, indem sie zumindest die Anzahl der zu verwaltenden Wurzeln reduziert. Hier kann nur ein privater Stammzertifizierungsstelle f\u00fcr alle internen PKI-Bed\u00fcrfnisse mit beliebig vielen Zwischenzertifizierungsstellen verwendet werden. Zum Beispiel zeigt das obige Diagramm eine mehrstufige Hierarchie, in der eine der Zwischenzertifizierungsstellen f\u00fcr die \u00dcberpr\u00fcfung\/Entschl\u00fcsselung von SSL verwendet wird, w\u00e4hrend eine andere f\u00fcr interne Computer (Laptops, Server, Desktop-Computer usw.) zust\u00e4ndig ist.<\/p>\n

In diesem Schema muss die CA nicht auf allen Clients platziert werden, da die oberste CA bei GlobalSign gehostet wird, was die Probleme mit dem Schutz des privaten Schl\u00fcssels und der G\u00fcltigkeitsdauer l\u00f6st.<\/p>\n

Ein weiterer Vorteil dieses Ansatzes ist die M\u00f6glichkeit, ein SSL-Inspektionszertifikat aus beliebigem Grund zu widerrufen. Stattdessen wird einfach ein neues erstellt, das an Ihren urspr\u00fcnglichen privaten Stamm gebunden ist, und es kann sofort genutzt werden.<\/p>\n

Trotz aller Kontroversen setzen Unternehmen zunehmend SSL-Traffic-Inspektion als Teil ihrer internen oder privaten PKI-Infrastruktur um. Weitere Anwendungsm\u00f6glichkeiten der privaten PKI sind die Ausstellung von Zertifikaten zur Authentifizierung von Ger\u00e4ten oder Nutzern, SSL f\u00fcr interne Server sowie verschiedene Konfigurationen, die in \u00f6ffentlichen vertrauensw\u00fcrdigen Zertifikaten gem\u00e4\u00df den Anforderungen des CA\/Browser-Forums nicht zul\u00e4ssig sind.<\/p>\n

Browser wehren sich<\/h2>\n

\nEs ist wichtig zu beachten, dass Browserentwickler versuchen, dieser Entwicklung entgegenzuwirken und die Endbenutzer vor MiTM-Angriffen zu sch\u00fctzen. Zum Beispiel hat Mozilla vor einigen Tagen die Entscheidung getroffen<\/a><\/noindex> den DoH (DNS-over-HTTPS) Protokollstandard standardm\u00e4\u00dfig in einer der kommenden Versionen des Browsers Firefox zu integrieren. Das DoH-Protokoll verbirgt DNS-Anfragen vor der DPI-Systematik und erschwert damit die SSL-Inspektion.<\/p>\n

\u00dcber \u00e4hnliche Pl\u00e4ne berichtete am 10. September 2019 k\u00fcndigte an<\/a><\/noindex> Google f\u00fcr den Chrome-Browser.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Nur registrierte Benutzer k\u00f6nnen an der Umfrage teilnehmen. Bitte einloggen<\/a><\/noindex>.<\/p>\n

Wie denken Sie, hat das Unternehmen das Recht, den SSL-Verkehr seiner Mitarbeiter zu inspizieren?<\/h2>\n