{"id":55146,"date":"2020-01-13T00:00:00","date_gmt":"2020-01-12T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov"},"modified":"2020-02-18T14:03:13","modified_gmt":"2020-02-18T11:03:13","slug":"mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","title":{"rendered":"Mozilla implementiert CRLite zur \u00dcberpr\u00fcfung problematischer TLS-Zertifikate","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Das Unternehmen Mozilla k\u00fcndigte an<\/a><\/noindex> \u00fcber den Beginn der Testphase in den n\u00e4chtlichen Builds von Firefox mit dem neuen Mechanismus zur Bestimmung von zur\u00fcckgezogenen Zertifikaten - CRLite<\/a><\/noindex>. CRLite erm\u00f6glicht eine effektive \u00dcberpr\u00fcfung des Widerrufs von Zertifikaten anhand einer auf dem System des Nutzers gespeicherten Datenbank. Die in Mozilla entwickelte Implementierung von CRLite wurde ver\u00f6ffentlicht<\/a><\/noindex> steht unter der freien Lizenz MPL 2.0. Der Code zur Generierung der DB und die Serverkomponenten sind in Python<\/a><\/noindex> und Go geschrieben. Die in Firefox hinzugef\u00fcgten Client-Komponenten zum Auslesen von Daten aus der DB wurden vorbereitet<\/a><\/noindex> sind in der Sprache Rust geschrieben.<\/p>\n

Die bis heute angewandte \u00dcberpr\u00fcfung von Zertifikaten durch externe Dienste auf Basis des Protokolls OCSP<\/a><\/noindex> (Online Certificate Status Protocol) erfordert einen garantierten Netzwerkzugang, f\u00fchrt zu sp\u00fcrbaren Verz\u00f6gerungen bei der Verarbeitung der Anfrage (im Durchschnitt 350 ms) und hat Probleme mit der Gew\u00e4hrleistung der Vertraulichkeit (die auf Anfragen antwortenden OCSP-Server erhalten Informationen \u00fcber spezifische Zertifikate, aus denen man schlie\u00dfen kann, welche Webseiten der Nutzer aufruft). Es gibt auch die M\u00f6glichkeit der lokalen \u00dcberpr\u00fcfung anhand von Listen CRL<\/a><\/noindex> (Certificate Revocation List), aber der Nachteil dieser Methode ist die sehr gro\u00dfe Gr\u00f6\u00dfe der heruntergeladenen Daten - derzeit nimmt die Datenbank zur\u00fcckgezogener Zertifikate etwa 300 MB in Anspruch und w\u00e4chst weiterhin.<\/p>\n

Um kompromittierte und von Zertifizierungsstellen widerrufene Zertifikate zu blockieren, wird seit 2015 in Firefox eine zentralisierte schwarze Liste verwendet OneCRL<\/a><\/noindex> in Kombination mit dem Aufruf des Dienstes Google Safe Browsing<\/a><\/noindex> zur Erkennung m\u00f6glicher sch\u00e4dlicher Aktivit\u00e4ten. OneCRL, wie auch CRLSets<\/a><\/noindex> in Chrome, fungiert als verbindendes Element, das CRL-Listen von Zertifizierungsstellen aggregiert und einen einheitlichen, zentralisierten OCSP-Dienst zur \u00dcberpr\u00fcfung zur\u00fcckgezogener Zertifikate bereitstellt, wodurch es m\u00f6glich ist, keine Anfragen direkt an die Zertifizierungsstellen zu senden. Trotz gro\u00dfer Anstrengungen zur Verbesserung der Zuverl\u00e4ssigkeit des Online-\u00dcberpr\u00fcfungsdienstes zeigen Telemetriedaten, dass mehr als 7 % der OCSP-Anfragen mit einem Timeout enden (vor einigen Jahren betrug dieser Wert 15 %). <\/p>\n

Im Standardfall, wenn die \u00dcberpr\u00fcfung \u00fcber OCSP nicht m\u00f6glich ist, betrachtet der Browser das Zertifikat als g\u00fcltig. Der Dienst kann aufgrund von Netzwerkproblemen und Einschr\u00e4nkungen in internen Netzwerken oder durch Angreifer blockiert werden - um die OCSP-\u00dcberpr\u00fcfung w\u00e4hrend eines MITM-Angriffs zu umgehen, reicht es aus, den Zugriff auf den \u00dcberpr\u00fcfungsdienst zu blockieren. Teilweise zur Vermeidung solcher Angriffe wurde eine Technik implementiert, Must-Staple<\/a><\/noindex>, die es erm\u00f6glicht, einen OCSP-Fehler oder die Nichterreichbarkeit von OCSP als Problem mit dem Zertifikat zu werten, wobei diese M\u00f6glichkeit optional ist und eine spezielle Zertifikatsausstellung erfordert. <\/p>\n

CRLite erm\u00f6glicht es, umfassende Informationen \u00fcber alle widerrufenen Zertifikate in einer leicht aktualisierbaren Struktur von nur 1 MB zu b\u00fcndeln, was die vollst\u00e4ndige Speicherung der CRL-Datenbank auf der Client-Seite erm\u00f6glicht.
\nDer Browser wird t\u00e4glich seine Kopie der Daten \u00fcber widerrufene Zertifikate synchronisieren k\u00f6nnen, und diese Datenbank wird unter allen Bedingungen verf\u00fcgbar sein. <\/p>\n

CRLite vereint Informationen aus Certificate Transparency<\/a><\/noindex>, einem \u00f6ffentlichen Protokoll aller ausgestellten und widerrufenen Zertifikate, sowie den Ergebnissen der Zertifikatsscans im Internet (verschiedene CRL-Listen von Zertifizierungsstellen werden gesammelt und Informationen \u00fcber alle bekannten Zertifikate aggregiert). Die Daten werden mit Hilfe von kaskadierenden Bloom-Filter<\/a><\/noindex>, probabilistischen Strukturen verpackt, die ein falsches Vermissen eines nicht vorhandenen Elements erlauben, jedoch das \u00dcbersehen eines vorhandenen Elements ausschlie\u00dfen (d. h. mit gewisser Wahrscheinlichkeit kann es ein falsch positives Ergebnis f\u00fcr ein g\u00fcltiges Zertifikat geben, jedoch werden widerrufene Zertifikate garantiert erkannt). <\/p>\n

Um falsche Alarme in CRLite auszuschlie\u00dfen, wurden zus\u00e4tzliche Korrekturfilterebenen eingef\u00fchrt. Nach der Erstellung der Struktur erfolgt die Durchsicht aller urspr\u00fcnglichen Datens\u00e4tze und die Bestimmung der entstandenen falschen Alarme. Basierend auf den Ergebnissen dieser \u00dcberpr\u00fcfung wird eine zus\u00e4tzliche Struktur erstellt, die kaskadenartig auf die erste aufgebracht wird und die entstandenen falschen Alarme korrigiert. Der Vorgang wird so lange wiederholt, bis bei der Kontroll\u00fcberpr\u00fcfung falsche Alarme vollst\u00e4ndig ausgeschlossen sind. Normalerweise gen\u00fcgt die Erstellung von 7-10 Schichten, um alle Daten vollst\u00e4ndig abzudecken. Da der Zustand der Datenbank aufgrund der periodischen Synchronisation etwas hinter dem aktuellen Zustand der CRL zur\u00fcckbleibt, wird die \u00dcberpr\u00fcfung neuer Zertifikate, die nach dem letzten Update der CRLite-Datenbank ausgestellt wurden, mithilfe des OCSP-Protokolls durchgef\u00fchrt, einschlie\u00dflich der Technologie. OCSP Stapling<\/a><\/noindex> (die von der Zertifizierungsstelle signierte OCSP-Antwort wird vom Server der gehosteten Seite w\u00e4hrend des TLS-Handshakes \u00fcbermittelt).<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

Durch die Verwendung von Bloom-Filtern konnte der Dezember-Datenausschnitt aus der WebPKI, der 100 Millionen aktive Zertifikate und 750.000 widerrufene Zertifikate umfasst, in einer Struktur mit einer Gr\u00f6\u00dfe von 1,3 MB verpackt werden. Der Prozess der Generierung der Struktur ist relativ ressourcenintensiv, wird jedoch auf dem Server von Mozilla durchgef\u00fchrt und dem Benutzer wird bereits ein fertiges Update bereitgestellt. Die bei der Generierung verwendeten Ursprungsdaten ben\u00f6tigen beispielsweise in bin\u00e4rer Form etwa 16 GB Speicherplatz in der Redis-Datenbank, w\u00e4hrend die dumpierten Seriennummern aller Zertifikate in hexadezimaler Form etwa 6,7 GB einnehmen. Der Prozess der Aggregation aller widerrufenen und aktiven Zertifikate dauert etwa 40 Minuten, und der Prozess der Generierung der kompaktierten Struktur basierend auf dem Bloom-Filter ben\u00f6tigt weitere 20 Minuten.<\/p>\n

Aktuell wird bei Mozilla die CRLite-Datenbank viermal t\u00e4glich aktualisiert (nicht alle Updates werden an die Kunden geliefert). Die Generierung von Delta-Updates ist bisher nicht implementiert - die Anwendung von bsdiff4, das zur Erstellung von Delta-Updates von Releases verwendet wird, bietet keine angemessene Effizienz f\u00fcr CRLite und die Updates sind daher unverh\u00e4ltnism\u00e4\u00dfig gro\u00df. Um dieses Manko zu beseitigen, ist die \u00dcberarbeitung des Speicherstrukturformats geplant, um \u00fcberfl\u00fcssige Umstrukturierungen und das Entfernen von Schichten zu vermeiden.<\/p>\n

CRLite funktioniert derzeit im passiven Modus in Firefox und wird parallel zu OCSP genutzt, um Statistiken \u00fcber die Funktionalit\u00e4t zu sammeln. CRLite kann in den Modus der Haupt\u00fcberpr\u00fcfung versetzt werden, indem der Parameter security.pki.crlite_mode = 2 in about:config gesetzt wird.<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox \u043d\u043e\u0432\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043e\u0442\u043e\u0437\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 — CRLite. CRLite \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043e\u0442\u0437\u044b\u0432\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u043c\u043e\u0439 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u0432 Mozilla \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f CRLite \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u043f\u043e\u0434 \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0439 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 MPL 2.0. \u041a\u043e\u0434 \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0411\u0414 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Python \u0438 Go. \u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55146","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla implementiert CRLite zur \u00dcberpr\u00fcfung problematischer TLS-Zertifikate | ProHoster","description":"Mozilla hat den Beginn von Tests in den Nacht-Builds von Firefox angek\u00fcndigt.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 CRLite \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043d\u044b\u0445 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-12T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55146","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:50:02","updated":"2022-10-10 06:24:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55146","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=55146"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55146\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=55146"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=55146"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=55146"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}