{"id":55146,"date":"2020-01-13T00:00:00","date_gmt":"2020-01-12T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov"},"modified":"2020-02-18T14:03:13","modified_gmt":"2020-02-18T11:03:13","slug":"mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","title":{"rendered":"Mozilla implementa CRLite para la verificaci\u00f3n de certificados TLS problem\u00e1ticos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La compa\u00f1\u00eda Mozilla anunci\u00f3<\/a><\/noindex> sobre el inicio de las pruebas en las compilaciones nocturnas de Firefox del nuevo mecanismo de determinaci\u00f3n de certificados revocados \u2014 CRLite<\/a><\/noindex>. CRLite permite organizar una verificaci\u00f3n eficiente de la revocaci\u00f3n de certificados a trav\u00e9s de una base de datos alojada en el sistema del usuario. La implementaci\u00f3n de CRLite que se desarrolla en Mozilla el a\u00f1o pasado<\/a><\/noindex> bajo la licencia MPL 2.0. El c\u00f3digo para generar la base de datos y los componentes del servidor est\u00e1n escritos en Python<\/a><\/noindex> y Go. Las partes del cliente a\u00f1adidas a Firefox para leer datos de la base de datos preparadas<\/a><\/noindex> est\u00e1n en el lenguaje Rust.<\/p>\n

La verificaci\u00f3n de certificados que todav\u00eda se aplica, utilizando servicios externos basados en el protocolo OCSP<\/a><\/noindex> (Online Certificate Status Protocol) requiere acceso a una red garantizada, provoca un retraso significativo en el procesamiento de la solicitud (en promedio 350 ms) y tiene problemas de privacidad (los servidores OCSP que responden a las solicitudes reciben informaci\u00f3n sobre certificados espec\u00edficos, lo que permite inferir qu\u00e9 sitios est\u00e1 visitando el usuario). Tambi\u00e9n existe la posibilidad de verificaci\u00f3n local a trav\u00e9s de listas CRL<\/a><\/noindex> (Lista de Certificados Revocados), pero la desventaja de este m\u00e9todo es el muy gran tama\u00f1o de los datos que se descargan \u2014 actualmente la base de datos de certificados revocados ocupa alrededor de 300 MB y sigue creciendo.<\/p>\n

Para bloquear certificados comprometidos y revocados por las autoridades de certificaci\u00f3n, Firefox ha estado utilizando una lista negra centralizada OneCRL<\/a><\/noindex> junto con el servicio Google Safe Browsing<\/a><\/noindex> para identificar posibles actividades maliciosas. OneCRL, al igual que CRLSets<\/a><\/noindex> en Chrome, act\u00faa como un eslab\u00f3n intermedio que agrega listas CRL de las autoridades de certificaci\u00f3n y proporciona un servicio OCSP centralizado para la verificaci\u00f3n de certificados revocados, lo que permite no enviar solicitudes directamente a las autoridades de certificaci\u00f3n. A pesar del gran trabajo realizado para aumentar la fiabilidad del servicio de verificaci\u00f3n de certificados en l\u00ednea, los datos de telemetr\u00eda muestran que m\u00e1s del 7% de las solicitudes OCSP finalizan en tiempo de espera (hace unos a\u00f1os, esta cifra era del 15%). <\/p>\n

Por defecto, si no se puede realizar la verificaci\u00f3n a trav\u00e9s de OCSP, el navegador considera que el certificado es v\u00e1lido. El servicio puede no estar disponible debido a problemas de red y restricciones en redes internas, as\u00ed como ser bloqueado por atacantes \u2014 para eludir la verificaci\u00f3n de OCSP durante un ataque MITM, simplemente es suficiente bloquear el acceso al servicio de verificaci\u00f3n. Parcialmente para prevenir tales ataques se ha implementado una t\u00e9cnica Must-Staple<\/a><\/noindex>, que permite interpretar el error en la consulta a OCSP o la inaccesibilidad de OCSP como un problema con el certificado, pero esta opci\u00f3n es opcional y requiere un formato especial del certificado. <\/p>\n

CRLite permite consolidar informaci\u00f3n completa sobre todos los certificados revocados en una estructura f\u00e1cilmente actualizable de solo 1 MB, lo que permite mantener una base completa de CRL del lado del cliente.
\nEl navegador podr\u00e1 sincronizar diariamente su copia de los datos sobre certificados revocados, y esta base de datos estar\u00e1 disponible en cualquier condici\u00f3n. <\/p>\n

CRLite combina informaci\u00f3n de Certificate Transparency<\/a><\/noindex>, un registro p\u00fablico de todos los certificados emitidos y revocados, y los resultados de escaneo de certificados en Internet (se recopilan diversas listas CRL de autoridades de certificaci\u00f3n y se agrega informaci\u00f3n sobre todos los certificados conocidos). Los datos se empaquetan utilizando estructuras en cascada de filtros de Bloom<\/a><\/noindex>, una estructura probabil\u00edstica que permite determinar err\u00f3neamente la ausencia de un elemento, pero excluye la omisi\u00f3n de un elemento existente (es decir, hay cierta probabilidad de un falso positivo en un certificado v\u00e1lido, pero los certificados revocados ser\u00e1n detectados garantizadamente). <\/p>\n

Para evitar falsas alarmas en CRLite se han introducido niveles de ajuste adicionales en el filtro. Despu\u00e9s de la generaci\u00f3n de la estructura, se lleva a cabo una revisi\u00f3n de todos los registros originales y se determina la aparici\u00f3n de falsas alarmas. A partir de esta verificaci\u00f3n, se crea una estructura adicional que se superpone a la primera y corrige las falsas alarmas generadas. La operaci\u00f3n se repite hasta que las falsas alarmas en la revisi\u00f3n de control se eliminen por completo. Generalmente, la creaci\u00f3n de 7 a 10 capas es suficiente para cubrir todos los datos. Dado que el estado de la base de datos, debido a la sincronizaci\u00f3n peri\u00f3dica, est\u00e1 un poco desfasado respecto al estado actual de CRL, la verificaci\u00f3n de nuevos certificados emitidos despu\u00e9s de la \u00faltima actualizaci\u00f3n de la base de datos CRLite se realiza mediante el protocolo OCSP, incluyendo el uso de la t\u00e9cnica OCSP Stapling<\/a><\/noindex> (la respuesta OCSP certificada por una autoridad de certificaci\u00f3n se entrega al servidor que atiende el sitio durante el establecimiento de la conexi\u00f3n TLS).<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

Con el uso de filtros de Bloom, el corte de informaci\u00f3n de diciembre de WebPKI, que abarca 100 millones de certificados activos y 750 mil certificados revocados, se logr\u00f3 empaquetar en una estructura de 1.3 MB. El proceso de generaci\u00f3n de la estructura es bastante intensivo en recursos, pero se realiza en el servidor de Mozilla y se env\u00eda al usuario una actualizaci\u00f3n ya lista. Por ejemplo, en forma binaria, los datos originales utilizados durante la generaci\u00f3n requieren alrededor de 16 GB de memoria cuando se almacenan en la base de datos Redis, y en formato hexadecimal, el volcado de todos los n\u00fameros de serie de los certificados ocupa alrededor de 6.7 GB. El proceso de agregaci\u00f3n de todos los certificados revocados y activos toma alrededor de 40 minutos, y el proceso de generaci\u00f3n de la estructura empaquetada basada en el filtro de Bloom requiere otros 20 minutos.<\/p>\n

Actualmente en Mozilla se asegura la actualizaci\u00f3n de la base de datos CRLite cuatro veces al d\u00eda (no todas las actualizaciones se entregan a los clientes). La generaci\u00f3n de actualizaciones delta a\u00fan no se ha implementado \u2014 el uso de bsdiff4, que se utiliza para crear actualizaciones delta de lanzamientos, no proporciona la eficiencia adecuada para CRLite y las actualizaciones resultan ser injustificadamente grandes. Para corregir esta deficiencia, se planea redise\u00f1ar el formato de la estructura de almacenamiento para eliminar la reconstrucci\u00f3n innecesaria y la eliminaci\u00f3n de capas.<\/p>\n

CRLite ahora funciona en Firefox en modo pasivo y se utiliza junto con OCSP para acumular estad\u00edsticas sobre la correcci\u00f3n de su funcionamiento. CRLite se puede cambiar a modo de verificaci\u00f3n principal; para ello, en about:config, debe establecer el par\u00e1metro security.pki.crlite_mode = 2.<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

Fuente: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox \u043d\u043e\u0432\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043e\u0442\u043e\u0437\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 — CRLite. CRLite \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043e\u0442\u0437\u044b\u0432\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u043c\u043e\u0439 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u0432 Mozilla \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f CRLite \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u043f\u043e\u0434 \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0439 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 MPL 2.0. \u041a\u043e\u0434 \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0411\u0414 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Python \u0438 Go. \u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55146","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla implementa CRLite para verificar certificados TLS problem\u00e1ticos | ProHoster","description":"La empresa Mozilla anunci\u00f3 el inicio de pruebas en las versiones nocturnas de Firefox.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 CRLite \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043d\u044b\u0445 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-12T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55146","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:50:02","updated":"2022-10-10 06:24:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/55146","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=55146"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/55146\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=55146"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=55146"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=55146"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}