{"id":55146,"date":"2020-01-13T00:00:00","date_gmt":"2020-01-12T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov"},"modified":"2020-02-18T14:03:13","modified_gmt":"2020-02-18T11:03:13","slug":"mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","title":{"rendered":"Mozilla rakendab CRLite, et kontrollida probleemsetele TLS-sertifikaatidele.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ettev\u00f5te Mozilla teatas<\/a><\/noindex> Firefoxi \u00f6\u00f6se kogutud uue sertifikaatide t\u00fchistamise mehhanismi testimise algusest — CRLite<\/a><\/noindex>. CRLite v\u00f5imaldab t\u00f5husat sertifikaatide t\u00fchistamise kontrolli kasutaja s\u00fcsteemis asuvas andmebaasis. Mozilla arendatav CRLite realiseerimine on avaldatud<\/a><\/noindex> on vabakutselise litsentsi MPL 2.0 all. Andmebaasi genereerimise kood ja serverikomponendid on kirjutatud Python<\/a><\/noindex> ja Go keeles. Firefoxisse lisatud kliendi osad andmete lugemiseks andmebaasist valmistatud<\/a><\/noindex> on kirjutatud Rusti keeles.<\/p>\n

Siiani rakendatav sertifikaatide kontroll, kasutades v\u00e4liseid teenuseid, tuginedes protokollile OCSP<\/a><\/noindex> (Online Certificate Status Protocol), vajab garanteeritud v\u00f5rgu\u00fchendust, mis p\u00f5hjustab m\u00e4rkimisv\u00e4\u00e4rset viivitust p\u00e4ringu t\u00f6\u00f6tlemisel (keskmiselt 350 ms) ning tekitab konfidentsiaalsuse probleeme (OCSP-p\u00e4ringutele vastavad serverid saavad teavet konkreetsete sertifikaatide kohta, mis v\u00f5imaldab j\u00e4reldada, milliseid saite kasutaja avab). Samuti on v\u00f5imalik kohalik kontroll sertifikaatide t\u00fchistamise loendi CRL<\/a><\/noindex> (Certificate Revocation List) kaudu, kuid selle meetodi puuduseks on tohutu laaditava andmehulga suurus — praegu on t\u00fchistatud sertifikaatide andmebaas umbes 300 MB ja see kasvab j\u00e4tkuvalt.<\/p>\n

Kompromiteeritud ja sertifikaate t\u00fchistanud sertifitseerimisasutuste sertifikaatide blokeerimiseks kasutatakse Firefoxis alates 2015. aastast tsentraliseeritud musta nimekirja OneCRL<\/a><\/noindex> koos teenusega Google Safe Browsing<\/a><\/noindex> v\u00f5imaliku kahjuliku tegevuse tuvastamiseks. OneCRL, nagu ka CRLSets<\/a><\/noindex> Chromis, toimib vaheaste, mis kogub sertifitseerimisasutuste CRL-loendid ning pakub \u00fchtset tsentraliseeritud OCSP-teenust t\u00fchistatud sertifikaatide kontrollimiseks, v\u00f5imaldades v\u00e4ltida otsese p\u00e4ringu saatmist sertifitseerimisasutustele. Hoolimata intensiivsest t\u00f6\u00f6st sertifikaatide online-kontrolli usaldusv\u00e4\u00e4rsuse t\u00f5stmiseks n\u00e4itavad telemeetriandmed, et \u00fcle 7% OCSP-p\u00e4ringutest l\u00f5ppeb aja\u00fclevaatusega (m\u00f5ni aasta tagasi oli see arv 15%). <\/p>\n

Vaikimisi, kui OCSP kontrollimine ei \u00f5nnestu, peab brauser sertifikaati kehtivaks. Teenus v\u00f5ib olla ligip\u00e4\u00e4smatu nii v\u00f5rguprobleemide t\u00f5ttu kui ka sisemiste v\u00f5rkude piirangute t\u00f5ttu, samuti v\u00f5ivad r\u00fcnnakud blokeerida OCSP kontrollimise — MITM-r\u00fcnnaku k\u00e4igus on piisav lihtsalt blokeerida juurdep\u00e4\u00e4s kontrollteenusele. Osaliselt selliste r\u00fcnnakute v\u00e4ltimiseks on rakendatud tehnika Must-Staple<\/a><\/noindex>, mis v\u00f5imaldab t\u00f5lgendada OCSP juurdep\u00e4\u00e4su t\u00f5rget v\u00f5i OCSP k\u00e4ttesaamatust probleemina sertifikaadis, kuid see v\u00f5imalus on valikuline ja n\u00f5uab sertifikaadi spetsiaalset vormistamist. <\/p>\n

CRLite v\u00f5imaldab koondada t\u00e4ielikud andmed k\u00f5igi t\u00fchistatud sertifikaatide kohta lihtsalt uuendatavasse struktuuri, mille suurus on vaid 1 MB, v\u00f5imaldades hoida kogu CRL andmebaasi kliendi poolel.
\nBrauser suudab igap\u00e4evaselt s\u00fcnkroonida oma koopia t\u00fchistatud sertifikaatide andmetest ja see andmebaas on saadaval igasugustes oludes. <\/p>\n

CRLite kogub andmeid Certificate Transparency<\/a><\/noindex>, k\u00f5igi v\u00e4lja antud ja t\u00fchistatud sertifikaatide avaliku logi ning sertifikaatide skaneerimise tulemustest internetis (kogutakse erinevad sertifikaatide CRL-loendid ja koondatakse teave k\u00f5igi tuntud sertifikaatide kohta). Andmed pakitakse kasutades kihtstruktuuri, Bloom filtrid<\/a><\/noindex>, t\u00f5en\u00e4osuslik struktuur, mis lubab vale m\u00e4\u00e4ramise puudumise korral, kuid v\u00e4listab olemasoleva elemendi vahelej\u00e4tmise (st on teatud t\u00f5en\u00e4osus vale tuvastamise korral \u00f5igele sertifikaadile, kuid t\u00fchistatud sertifikaadid tuvastatakse kindlasti). <\/p>\n

Vale tuvastuste v\u00e4ltimiseks CRLite-s on sisse viidud t\u00e4iendavad korrektsioone tasemed. P\u00e4rast struktuuri genereerimist tehakse iga algse kirje l\u00e4bivaatamine ja vale tuvastuste m\u00e4\u00e4ramine. Selle kontrollimise tulemustel luuakse t\u00e4iendav struktuur, mis kaskaadselt kattub esimese ja parandab tekkinud vale tuvastusi. Operatsioon kordub seni, kuni vale tuvastuste kontrollimisel ei j\u00e4eta t\u00e4ielikult v\u00e4lja. Tavalise katte saavutamiseks on tihti piisav 7-10 kihi loomine. Kuna andmebaasi olek uue s\u00fcnkroonimise t\u00f5ttu j\u00e4\u00e4b CRL-st veidi maha, toimub uute sertifikaatide kontroll, mis on v\u00e4lja antud p\u00e4rast CRLite andmebaasi viimast v\u00e4rskendust, OCSP-protokolli abil, sealhulgas kasutades tehnikat OCSP Stapling<\/a><\/noindex> (sertifikaadi oleku kontrollimise vastus OCSP, mis on allkirjastatud sertifitseerimisasutuse poolt, saadetakse teenindava saidi serveri poolt TLS-\u00fchenduse kehtestamisel).<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

Bloom-filtrite abil suudeti veebipki detsembrikuu andmete l\u00f5ik, mis h\u00f5lmab 100 miljonit aktiivset sertifikaati ja 750 tuhat t\u00fchistatud sertifikaati, pakendada struktuuri, mille suurus on 1,3 MB. Struktuuri genereerimise protsess on piisavalt ressursimahukas, kuid see toimub Mozilla serveris ning kasutajale antakse valmis uuendus. N\u00e4iteks binaarsetes andmetes, mida kasutatakse genereerimise ajal, on andmete salvestamine Redis andmebaasis ligikaudu 16 GB m\u00e4lumahtu ning heksadesimaalses vormis k\u00f5igi sertifikaatide seerianumbrite dump suurendab umbes 6,7 GB. K\u00f5ikide t\u00fchistatud ja aktiivsete sertifikaatide kogumise protsess v\u00f5tab aega umbes 40 minutit ja Bloom-filtri p\u00f5hjal pakendatud struktuuri genereerimise protsess n\u00f5uab veel 20 minutit.<\/p>\n

Praegu on Mozilla taganud CRLite andmebaasi uuendamise neli korda p\u00e4evas (k\u00f5iki uuendusi ei edastata klientidele). Delta-uuenduste genereerimine pole veel realiseeritud \u2014 bsdiff4, mida kasutatakse versioonide delta-uuenduste loomiseks, ei tagasta CRLite jaoks piisavat efektiivsust ning uuendused on ebamugavalt suured. Selle puuduse k\u00f5rvaldamiseks on plaanis \u00fcmber kujundada salvestusstruktuuri formaat, et v\u00e4listada liigset \u00fcmberstruktureerimist ja kihtide eemaldamist.<\/p>\n

CRLite t\u00f6\u00f6tab praegu Firefoxis passiivses re\u017eiimis ja seda kasutatakse koos OCSP-ga, et koguda statistikat t\u00f6\u00f6 korrektsuse kohta. CRLite\u2019i saab muuta p\u00f5hjatesti re\u017eiimiks, selleks tuleb about:config-is seada parameeter security.pki.crlite_mode = 2.<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

Allikas: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox \u043d\u043e\u0432\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043e\u0442\u043e\u0437\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 — CRLite. CRLite \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043e\u0442\u0437\u044b\u0432\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u043c\u043e\u0439 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u0432 Mozilla \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f CRLite \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u043f\u043e\u0434 \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0439 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 MPL 2.0. \u041a\u043e\u0434 \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0411\u0414 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Python \u0438 Go. \u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55146","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla rakendab CRLite probleemsete TLS-sertifikaatide kontrollimiseks | ProHoster","description":"Mozilla on kuulutanud v\u00e4lja Firefoxi \u00f6iste versioonide testimise alguse.","canonical_url":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"et_EE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 CRLite \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043d\u044b\u0445 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox.","og:url":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-12T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55146","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:50:02","updated":"2022-10-10 06:24:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/55146","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/comments?post=55146"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/55146\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media?parent=55146"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/categories?post=55146"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/tags?post=55146"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}