{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (SSL-i kontroll) on vastuolus kr\u00fcptograafia olemusega, kuid ettev\u00f5tted rakendavad seda.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nUsaldusv\u00f5rk. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

SSL-i liikluse kontroll (SSL\/TLS-i dekr\u00fcpteerimine, SSL-i anal\u00fc\u00fcs v\u00f5i DPI) on \u00fcha kuum teema ettev\u00f5tete sektoris. Tundub, et liikluse dekr\u00fcpteerimise idee on vastuolus kr\u00fcptograafia enda kontseptsiooniga. Kuid fakt on fakt: \u00fcha rohkem ettev\u00f5tteid kasutab DPI-tehnoloogiaid, p\u00f5hjendades seda vajadusega kontrollida sisu pahavara, andmelekkete jne suhtes.<\/p>\n

Kui v\u00f5tta fakti, et sellist tehnoloogiat on t\u00f5esti vajalik rakendada, siis tuleks v\u00e4hemalt kaaluda, kuidas seda k\u00f5ige turvalisemal ja paremini hallataval viisil teha. \u00c4ra tohi toetuda n\u00e4iteks neile sertifikaatidele, mida annab teile DPI-s\u00fcsteemi tarnija.<\/p>\n

On olemas \u00fcks rakenduse aspekt, millest k\u00f5ik ei tea. Tegelikult \u00fcllatab see paljusid, kui nad sellest kuulevad. See on privaatne sertifitseerimiskeskus (PKS). See genereerib sertifikaate liikluse dekr\u00fcpteerimiseks ja uuesti kr\u00fcpteerimiseks.
\n<\/a><\/noindex>
\nKuna selle asemel, et toetuda iseeneslikele sertifikaatidele v\u00f5i DPI-seadmest saadud sertifikaatidele, saate kasutada eraldi CA-d kolmanda osapoole sertifitseerimiskeskusest, nagu GlobalSign. Aga esmalt teeme v\u00e4ikese \u00fclevaate probleemist endas.<\/p>\n

Mis on SSL-i \u00fclevaatus ja miks seda kasutatakse?<\/h2>\n

\n\u00dcha rohkem avalikke veebisaite liigub HTTPS-i peale. N\u00e4iteks Chrome'i statistika<\/a><\/noindex>, septembri alguseks 2019. aastal oli Venemaa kr\u00fcptitud liikluse osakaal j\u00f5udnud 83%-ni.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Kahjuks kasutavad h\u00e4kkerid \u00fcha sagedamini liikluse kr\u00fcpteerimist, eriti kuna Let's Encrypt jagab tuhandeid tasuta SSL-sertifikaate automatiseeritud viisil. Seet\u00f5ttu kasutatakse HTTPS-i laialdaselt \u2014 ja lukustusikoon brauseri aadressiribal ei ole enam usaldusv\u00e4\u00e4rne turvalisuse indikaator.<\/p>\n

Nendest positsioonidest edendavad oma tooteid DPI lahenduste tootjad. Need paigaldatakse l\u00f5ppkasutajate (st teie t\u00f6\u00f6tajate, kes sirvivad veebilehti) ja Interneti vahele, filtreerides v\u00e4lja pahatahtliku liikluse. T\u00e4na on turul mitmeid selliseid tooteid, kuid protsessid on olemuselt sarnased. HTTPS liiklus l\u00e4bib seadme kontrollimist, kus see dekodeeritakse ja kontrollitakse pahavara suhtes.<\/p>\n

P\u00e4rast kontrollimise l\u00f5petamist loob seade l\u00f5ppkasutajaga uue SSL-seansi sisu dekodeerimiseks ja uuesti kr\u00fcpteerimiseks.<\/p>\n

Kuidas t\u00f6\u00f6tab dekodeerimise \/ uuesti kr\u00fcpteerimise protsess<\/h2>\n

\nKuna SSL-inspektsiooni seade peab dekodeerima ja uuesti kr\u00fcpteerima pakette enne nende edastamist l\u00f5ppkasutajatele, peab see olema v\u00f5imeline v\u00e4lja andma SSL-sertifikaate reaalajas. See t\u00e4hendab, et sellel peab olema installeeritud CA sertifikaat.<\/p>\n

Ettev\u00f5tte (v\u00f5i muu isiku) jaoks on oluline, et need SSL-sertifikaadid oleksid brauserites usaldusv\u00e4\u00e4rsed (st ei tekitaks hirmu\u00e4ratavaid hoiatuss\u00f5numeid, nagu allpool toodud). Seet\u00f5ttu peab CA ahel (v\u00f5i hierarhia) olema brauseri usaldusreservis. Kuna need sertifikaadid ei v\u00e4ljastata avalikest usaldusv\u00e4\u00e4rsetest sertifitseerimiskeskustest, on vaja hierarhiad k\u00e4sitsi edastada k\u00f5ikidele l\u00f5ppkasutajatele.<\/p>\n

\"DPI
\nHoiatuss\u00f5num iseseisva sertifikaadi kohta Chromes. Allikas: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

Windowsi arvutites saab kasutada Active Directoryt ja grupipoliitikaid, kuid mobiilsete seadmete puhul on protseduur keerulisem.<\/p>\n

K\u00fcsimus l\u00e4heb veel keerulisemaks, kui tuleb hallata ka ettev\u00f5tte keskkonnas teisi juureretseptoreid, n\u00e4iteks Microsoftilt v\u00f5i OpenSSL p\u00f5hjal. Lisaks on vajalik salajaste v\u00f5tmete kaitse ja haldamine, et mingi v\u00f5tme kehtivusaeg ei l\u00f5ppeks ootamatult.<\/p>\n

Parim lahendus: eraldi, spetsiaalne juuresertifikaat kolmandalt osapoolelt.<\/h2>\n

\nKui mitme juure v\u00f5i isesignitud sertifikaatide haldamine ei ole atraktiivne, siis on ka teine v\u00f5imalus: v\u00f5ite toetuda kolmanda osapoole sertifitseerimisasutusele. Sel juhul v\u00e4ljastatakse sertifikaadid privaatse<\/b> sertifitseerimisasutuse, mis on usaldusketis seotud spetsiaalselt ettev\u00f5tte jaoks loodud eraldiseisva privaatse juure sertifitseerimiskeskusega.<\/p>\n

\"DPI<\/a><\/noindex>
\nLihtsustatud arhitektuur eraldiseisvatele kliendi juuresertifikaatidele<\/i><\/p>\n

Selline seadistus k\u00f5rvaldab m\u00f5ned varem mainitud probleemid: v\u00e4hemalt v\u00e4hendab haldamiseks vajalike juurte arvu. Siin saab kasutada ainult \u00fchte privaatset juure sertifitseerimiskeskust k\u00f5igi sisemiste PKI vajaduste jaoks koos mis tahes arvu vahe-sertifitseerimiskeskustega. N\u00e4iteks n\u00e4itab eespool toodud diagramm mitmetasandilist hierarhiat, kus \u00fcks vahe-sertifitseerimiskeskus kasutatakse SSL-i kontrollimiseks\/dekr\u00fcpteerimiseks, ja teine on m\u00f5eldud siseruumide arvutitele (nutikatele, serveritele, lauaarvutitele jne.).<\/p>\n

Selles skeemis ei pea CA-d paigaldama k\u00f5igile klientidele, kuna tipp-taseme CA asub GlobalSign'is, mis lahendab privaatse v\u00f5tme kaitsmise ja kehtivuse probleeme.<\/p>\n

Teine kasu sellest l\u00e4henemisest on v\u00f5imalus tagada SSL-i kontrollimise sertifikaat mis tahes p\u00f5hjusel. Selle asemel luuakse lihtsalt uus, mis sidub teie algse privaatse juurega, ja seda saab kohe kasutada.<\/p>\n

Hoolimata k\u00f5igist vastuoludest rakendavad ettev\u00f5tted \u00fcha enam SSL-i liikluse kontrollimist kui osa sisemisest v\u00f5i privaatsetest PKI infrastruktuuridest. Muud privaatsuse PKI kasutusv\u00f5imalused h\u00f5lmavad sertifikaatide v\u00e4ljastamist seadmete v\u00f5i kasutajate autentimiseks, SSL-i sisemistele serveritele ning erinevaid konfiguratsioone, mis ei ole avalikes usaldusv\u00e4\u00e4rsetes sertifikaatides CA\/Browser Forumi n\u00f5uete kohaselt lubatud.<\/p>\n

Brauserid vastanduvad<\/h2>\n

\nTuleb m\u00e4rkida, et brauseriarendajad \u00fcritavad sellele suundumusele vastu seista ja kaitsta l\u00f5ppkasutajaid MiTM-i eest. N\u00e4iteks paar p\u00e4eva tagasi otsustas Mozilla teha otsuse<\/a><\/noindex> Aktiveeri vaikimisi DoH (DNS-over-HTTPS) protokoll m\u00f5nes j\u00e4rgmistest Firefox'i brauseri versioonidest. DoH protokoll peidab DNS-p\u00e4ringud DPI-s\u00fcsteemi eest, raskendades SSL-i kontrollimist.<\/p>\n

Sarnaste plaanide kohta 10. septembril 2019. teatas<\/a><\/noindex> ettev\u00f5ttelt Google Chrome'i brauserile.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Ainult registreeritud kasutajad saavad k\u00fcsitluses osaleda. Logige sisse<\/a><\/noindex>, palun.<\/p>\n

Kuidas arvate, kas ettev\u00f5ttel on \u00f5igus kontrollida oma t\u00f6\u00f6tajate SSL-liiklust?<\/h2>\n