{"id":55146,"date":"2020-01-13T00:00:00","date_gmt":"2020-01-12T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov"},"modified":"2020-02-18T14:03:13","modified_gmt":"2020-02-18T11:03:13","slug":"mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","title":{"rendered":"Mozilla implementiert CRLite zur \u00dcberpr\u00fcfung problematischer TLS-Zertifikate","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Mozilla Corporation hat bekannt gegeben<\/a><\/noindex> \u00fcber den Beginn der Testphase in den n\u00e4chtlichen Versionen von Firefox f\u00fcr den neuen Mechanismus zur Bestimmung von widerrufenen Zertifikaten \u2014 CRLite<\/a><\/noindex>. CRLite erm\u00f6glicht eine effiziente \u00dcberpr\u00fcfung von Zertifikaten anhand einer Datenbank, die lokal auf dem System des Benutzers gehostet wird. Die von Mozilla entwickelte CRLite-Implementierung ver\u00f6ffentlicht<\/a><\/noindex> steht unter der freien Lizenz MPL 2.0. Der Code zur Generierung der Datenbank und die Serverkomponenten sind in Python<\/a><\/noindex> und Go geschrieben. Die in Firefox hinzugef\u00fcgten Clientteile zum Auslesen der Daten aus der Datenbank werden<\/a><\/noindex> sind in Rust geschrieben.<\/p>\n

Die bisher verwendete \u00dcberpr\u00fcfung von Zertifikaten mit externen Diensten auf der Basis des Protokolls OCSP<\/a><\/noindex> (Online Certificate Status Protocol) erfordert garantierten Netzwerkzugang, f\u00fchrt zu sp\u00fcrbaren Verz\u00f6gerungen bei der Bearbeitung von Anfragen (im Durchschnitt 350 ms) und hat Datenschutzprobleme (die Server, die auf Anfragen antworten, erhalten Informationen \u00fcber spezifische Zertifikate, anhand derer man R\u00fcckschl\u00fcsse darauf ziehen kann, welche Websites der Benutzer besucht). Es besteht auch die M\u00f6glichkeit einer lokalen \u00dcberpr\u00fcfung anhand von Listen. CRL<\/a><\/noindex> (Certificate Revocation List), aber der Nachteil dieser Methode ist die sehr gro\u00dfe Gr\u00f6\u00dfe der herunterzuladenden Daten \u2014 derzeit betr\u00e4gt die Datenbank widerrufener Zertifikate etwa 300 MB, und ihr Wachstum setzt sich fort.<\/p>\n

Um kompromittierte und von Zertifizierungsstellen widerrufene Zertifikate zu blockieren, wird seit 2015 in Firefox eine zentralisierte schwarze Liste verwendet. OneCRL<\/a><\/noindex> in Kombination mit dem Zugriff auf den Dienst Google Safe Browsing<\/a><\/noindex> um potenzielle b\u00f6sartige Aktivit\u00e4ten zu erkennen. OneCRL, \u00e4hnlich wie CRLSets<\/a><\/noindex> in Chrome, fungiert als eine Zwischeninstanz, die CRL-Listen von Zertifizierungsstellen aggregiert und einen einheitlichen zentralisierten OCSP-Dienst zur \u00dcberpr\u00fcfung widerrufener Zertifikate bereitstellt, was es erm\u00f6glicht, keine Anfragen direkt an die Zertifizierungsstellen zu senden. Trotz der umfangreichen Bem\u00fchungen zur Verbesserung der Zuverl\u00e4ssigkeit des Online-Zertifikatspr\u00fcfungsdienstes zeigen Telemetriedaten, dass mehr als 7 % der OCSP-Anfragen mit einem Timeout enden (vor einigen Jahren lag dieser Wert bei 15 %). <\/p>\n

Standardm\u00e4\u00dfig betrachtet der Browser ein Zertifikat als g\u00fcltig, wenn die \u00dcberpr\u00fcfung \u00fcber OCSP nicht m\u00f6glich ist. Der Dienst kann aufgrund von Netzwerkproblemen und Einschr\u00e4nkungen in internen Netzwerken oder durch Angreifer blockiert werden \u2014 um die OCSP-\u00dcberpr\u00fcfung w\u00e4hrend eines MITM-Angriffs zu umgehen, reicht es aus, den Zugriff auf den \u00dcberpr\u00fcfungsdienst zu blockieren. Teilweise wurde eine Technik umgesetzt, um solche Angriffe zu verhindern. Must-Staple<\/a><\/noindex>, die es erm\u00f6glicht, einen Fehler bei der Anfrage \u00fcber OCSP oder die Unzug\u00e4nglichkeit von OCSP als Problem mit dem Zertifikat zu interpretieren, aber diese M\u00f6glichkeit ist optional und erfordert eine spezielle Zertifikatsausstellung. <\/p>\n

CRLite erm\u00f6glicht es, vollst\u00e4ndige Informationen \u00fcber alle widerrufenen Zertifikate in einer leicht aktualisierbaren Struktur mit einer Gr\u00f6\u00dfe von nur 1 MB zusammenzufassen, was die Speicherung einer vollst\u00e4ndigen CRL-Datenbank auf der Client-Seite erm\u00f6glicht.
\nDer Browser kann t\u00e4glich seine Kopie der Daten \u00fcber widerrufene Zertifikate synchronisieren, und diese Datenbank wird unter allen Bedingungen verf\u00fcgbar sein. <\/p>\n

CRLite kombiniert Informationen aus Certificate Transparency<\/a><\/noindex>, \u00f6ffentlicher Protokoll aller ausgegebenen und zur\u00fcckgezogenen Zertifikate sowie Ergebnisse der Zertifikatsscans im Internet (verschiedene CRL-Listen von Zertifizierungsstellen werden gesammelt und Informationen zu allen bekannten Zertifikaten aggregiert). Die Daten werden mit Hilfe von kaskadierten Bloom-Filter<\/a><\/noindex>, probabilistischer Struktur verpackt, die eine falsche Bestimmung eines fehlenden Elements zul\u00e4sst, aber das \u00dcbersehen eines vorhandenen Elements ausschlie\u00dft (d.h. mit einer bestimmten Wahrscheinlichkeit kann es zu einem Fehlalarm bei einem g\u00fcltigen Zertifikat kommen, aber zur\u00fcckgezogene Zertifikate werden garantiert identifiziert). <\/p>\n

Um Fehlalarme in CRLite zu vermeiden, wurden zus\u00e4tzliche Anpassungsfilterebenen eingef\u00fchrt. Nach der Erstellung der Struktur erfolgt eine Durchsicht aller urspr\u00fcnglichen Datens\u00e4tze, um aufgetretene Fehlalarme zu identifizieren. Nach dieser \u00dcberpr\u00fcfung wird eine zus\u00e4tzliche Struktur erstellt, die kaskadierend auf die erste aufgebracht wird, um die aufgetretenen Fehlalarme zu korrigieren. Dieser Vorgang wird solange wiederholt, bis bei der Kontroll\u00fcberpr\u00fcfung keine Fehlalarme mehr vorhanden sind. \u00dcblicherweise sind 7-10 Schichten notwendig, um alle Daten vollst\u00e4ndig abzudecken. Da der Zustand der Datenbank aufgrund periodischer Synchronisation etwas hinter dem aktuellen Zustand der CRL zur\u00fcckbleibt, erfolgt die \u00dcberpr\u00fcfung neuer Zertifikate, die nach dem letzten Update der CRLite-Datenbank ausgestellt wurden, mittels des OCSP-Protokolls, unter Verwendung der Technik OCSP Stapling<\/a><\/noindex> (die durch das Zertifizierungsstelle best\u00e4tigte OCSP-Antwort wird vom betreibenden Webserver w\u00e4hrend der Aushandlung der TLS-Verbindung \u00fcbermittelt).<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

Mit Hilfe von Bloom-Filtern konnte der Dezember-Datenextrakt aus WebPKI, der 100 Millionen aktive Zertifikate und 750.000 widerrufene Zertifikate umfasst, in einer Struktur mit einer Gr\u00f6\u00dfe von 1,3 MB verpackt werden. Der Prozess der Strukturgenerierung ist recht ressourcenintensiv, wird jedoch auf dem Server von Mozilla ausgef\u00fchrt, sodass den Nutzern bereits das fertige Update bereitgestellt wird. Zum Beispiel ben\u00f6tigen die verwendeten Ausgangsdaten in bin\u00e4rer Form bei der Generierung etwa 16 GB Speicherplatz in der Redis-Datenbank, w\u00e4hrend der hexadezimale Dump aller Seriennummern der Zertifikate ungef\u00e4hr 6,7 GB gro\u00df ist. Der Prozess der Aggregierung aller widerrufenen und aktiven Zertifikate dauert etwa 40 Minuten, und die Generierung der verpackten Struktur auf Basis des Bloom-Filters ben\u00f6tigt weitere 20 Minuten.<\/p>\n

Derzeit wird bei Mozilla die CRLite-Datenbank viermal t\u00e4glich aktualisiert (nicht alle Updates werden an die Clients geliefert). Die Generierung von Delta-Updates ist noch nicht implementiert \u2014 die Verwendung von bsdiff4, das zur Erstellung von Delta-Updates f\u00fcr Releases eingesetzt wird, bietet nicht die notwendige Effizienz f\u00fcr CRLite, was zu unangemessen gro\u00dfen Updates f\u00fchrt. Um dieses Problem zu beheben, ist eine \u00dcberarbeitung des Speicherstrukturformats geplant, um \u00fcberfl\u00fcssige Umstrukturierungen und das Entfernen von Schichten zu vermeiden.<\/p>\n

CRLite arbeitet derzeit passiv in Firefox und wird parallel zu OCSP verwendet, um Statistiken \u00fcber die korrekte Funktionsweise zu sammeln. CRLite kann in den Hauptpr\u00fcfmodus versetzt werden, indem in about:config der Parameter security.pki.crlite_mode auf 2 gesetzt wird.<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox \u043d\u043e\u0432\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043e\u0442\u043e\u0437\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 — CRLite. CRLite \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043e\u0442\u0437\u044b\u0432\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u043c\u043e\u0439 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u0432 Mozilla \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f CRLite \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u043f\u043e\u0434 \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0439 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 MPL 2.0. \u041a\u043e\u0434 \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0411\u0414 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Python \u0438 Go. \u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55146","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla f\u00fchrt CRLite zur \u00dcberpr\u00fcfung problematischer TLS-Zertifikate ein | ProHoster","description":"Die Firma Mozilla hat angek\u00fcndigt, mit den Tests in den Nightly-Builds von Firefox zu beginnen.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 CRLite \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043d\u044b\u0445 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox.","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-12T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55146","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:50:02","updated":"2022-10-10 06:24:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55146","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=55146"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55146\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=55146"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=55146"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=55146"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}