{"id":55146,"date":"2020-01-13T00:00:00","date_gmt":"2020-01-12T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov"},"modified":"2020-02-18T14:03:13","modified_gmt":"2020-02-18T11:03:13","slug":"mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","title":{"rendered":"Mozilla d\u00e9ploie CRLite pour v\u00e9rifier les certificats TLS probl\u00e9matiques","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Entreprise Mozilla a annonc\u00e9<\/a><\/noindex> sur le d\u00e9but des tests dans les builds nocturnes de Firefox du nouveau m\u00e9canisme de d\u00e9termination des certificats r\u00e9voqu\u00e9s \u2014 CRLite<\/a><\/noindex>. CRLite permet d'organiser une v\u00e9rification efficace des r\u00e9vocations de certificats \u00e0 partir d'une base de donn\u00e9es h\u00e9berg\u00e9e sur le syst\u00e8me de l'utilisateur. La mise en \u0153uvre de CRLite d\u00e9velopp\u00e9e par Mozilla a \u00e9t\u00e9 publi\u00e9e<\/a><\/noindex> est sous licence libre MPL 2.0. Le code pour g\u00e9n\u00e9rer la base de donn\u00e9es et les composants serveurs sont \u00e9crits en Python<\/a><\/noindex> et Go. Les parties client ajout\u00e9es \u00e0 Firefox pour lire les donn\u00e9es de la base de donn\u00e9es pr\u00e9par\u00e9s<\/a><\/noindex> sont \u00e9crites en Rust.<\/p>\n

La v\u00e9rification de certificats encore utilis\u00e9e, faisant appel \u00e0 des services externes bas\u00e9s sur le protocole OCSP<\/a><\/noindex> (Online Certificate Status Protocol) n\u00e9cessite un acc\u00e8s r\u00e9seau garanti, engendrant un d\u00e9lai notable dans le traitement de la demande (en moyenne 350 ms) et pr\u00e9sente des probl\u00e8mes de confidentialit\u00e9 (les serveurs OCSP qui r\u00e9pondent aux requ\u00eates re\u00e7oivent des informations concernant des certificats sp\u00e9cifiques, permettant de d\u00e9duire quels sites l'utilisateur visite). Il existe \u00e9galement la possibilit\u00e9 d'une v\u00e9rification locale via des listes CRL<\/a><\/noindex> (Certificate Revocation List), mais un inconv\u00e9nient de cette m\u00e9thode est la taille tr\u00e8s importante des donn\u00e9es \u00e0 t\u00e9l\u00e9charger \u2014 actuellement, la base de donn\u00e9es des certificats r\u00e9voqu\u00e9s fait environ 300 Mo et continue de cro\u00eetre.<\/p>\n

Pour bloquer les certificats compromis et r\u00e9voqu\u00e9s par les autorit\u00e9s de certification, Firefox utilise depuis 2015 une liste noire centralis\u00e9e OneCRL<\/a><\/noindex> en combinaison avec un service Google Safe Browsing<\/a><\/noindex> pour d\u00e9tecter une \u00e9ventuelle activit\u00e9 malveillante. OneCRL, tout comme CRLSets<\/a><\/noindex> dans Chrome, agit comme un lien interm\u00e9diaire qui agr\u00e8ge les listes CRL des autorit\u00e9s de certification et fournit un service OCSP centralis\u00e9 pour v\u00e9rifier les certificats r\u00e9voqu\u00e9s, permettant de ne pas envoyer de requ\u00eates directement aux autorit\u00e9s de certification. Malgr\u00e9 un important travail effectu\u00e9 pour am\u00e9liorer la fiabilit\u00e9 du service de v\u00e9rification en ligne des certificats, les donn\u00e9es de t\u00e9l\u00e9m\u00e9trie montrent que plus de 7 % des requ\u00eates OCSP se terminent par un timeout (il y a quelques ann\u00e9es, ce chiffre \u00e9tait de 15 %). <\/p>\n

Par d\u00e9faut, en cas d'impossibilit\u00e9 de v\u00e9rifier via OCSP, le navigateur consid\u00e8re que le certificat est valide. Le service peut \u00eatre inaccessible en raison de probl\u00e8mes de r\u00e9seau ou de restrictions dans les r\u00e9seaux internes, ou il peut \u00eatre bloqu\u00e9 par des attaquants \u2014 pour contourner la v\u00e9rification OCSP lors d'une attaque MITM, il suffit de bloquer l'acc\u00e8s au service de v\u00e9rification. En partie pour pr\u00e9venir de telles attaques, une technique a \u00e9t\u00e9 mise en \u0153uvre. Must-Staple<\/a><\/noindex>, qui permet d'interpr\u00e9ter l'erreur de requ\u00eate OCSP ou l'indisponibilit\u00e9 d'OCSP comme un probl\u00e8me li\u00e9 au certificat, mais cette option est facultative et n\u00e9cessite une configuration sp\u00e9ciale du certificat. <\/p>\n

CRLite permet de compacter toutes les informations sur tous les certificats r\u00e9voqu\u00e9s dans une structure facilement actualisable, de seulement 1 Mo, ce qui permet de conserver l'int\u00e9gralit\u00e9 de la base CRL c\u00f4t\u00e9 client.
\nLe navigateur pourra synchroniser quotidiennement sa copie des donn\u00e9es sur les certificats r\u00e9voqu\u00e9s, et cette base de donn\u00e9es sera disponible dans toutes les conditions. <\/p>\n

CRLite regroupe les informations provenant de la Transparence des Certificats<\/a><\/noindex>, un registre public de tous les certificats \u00e9mis et r\u00e9voqu\u00e9s, et des r\u00e9sultats d'analyse des certificats sur Internet (diff\u00e9rents listes CRL sont collect\u00e9es aupr\u00e8s des autorit\u00e9s de certification et les informations sur tous les certificats connus sont agr\u00e9g\u00e9es). Les donn\u00e9es sont empaquet\u00e9es \u00e0 l'aide de filtres Bloom<\/a><\/noindex>, une structure probabiliste qui permet une fausse identification d'un \u00e9l\u00e9ment manquant, mais exclut le non-reconnaissance d'un \u00e9l\u00e9ment existant (c'est-\u00e0-dire qu'avec une certaine probabilit\u00e9, il peut y avoir un faux positif pour un certificat valide, mais les certificats r\u00e9voqu\u00e9s seront assur\u00e9ment d\u00e9tect\u00e9s). <\/p>\n

Pour \u00e9viter les faux positifs dans CRLite, des niveaux de filtrage correctifs suppl\u00e9mentaires ont \u00e9t\u00e9 introduits. Apr\u00e8s la g\u00e9n\u00e9ration de la structure, toutes les entr\u00e9es d'origine sont parcourues pour identifier les faux positifs survenus. \u00c0 partir des r\u00e9sultats de cette v\u00e9rification, une structure suppl\u00e9mentaire est cr\u00e9\u00e9e, qui est appliqu\u00e9e en cascade sur la premi\u00e8re et corrige les faux positifs d\u00e9tect\u00e9s. L'op\u00e9ration est r\u00e9p\u00e9t\u00e9e jusqu'\u00e0 ce que les faux positifs soient enti\u00e8rement \u00e9limin\u00e9s lors de la v\u00e9rification de contr\u00f4le. En g\u00e9n\u00e9ral, la cr\u00e9ation de 7 \u00e0 10 couches suffit pour couvrir toutes les donn\u00e9es. \u00c9tant donn\u00e9 que l'\u00e9tat de la base de donn\u00e9es, en raison de la synchronisation p\u00e9riodique, est l\u00e9g\u00e8rement en retard par rapport \u00e0 l'\u00e9tat actuel de la CRL, la v\u00e9rification des nouveaux certificats \u00e9mis apr\u00e8s la derni\u00e8re mise \u00e0 jour de la base de donn\u00e9es CRLite se fait \u00e0 l'aide du protocole OCSP, y compris en utilisant la technique OCSP Stapling<\/a><\/noindex> (la r\u00e9ponse OCSP certifi\u00e9e par l'autorit\u00e9 de certification est transmise par le serveur qui g\u00e8re le site lors de l'\u00e9tablissement de la connexion TLS).<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

\u00c0 l'aide des filtres de Bloom, l'\u00e9chantillon de d\u00e9cembre des donn\u00e9es de WebPKI, couvrant 100 millions de certificats actifs et 750 000 certificats r\u00e9voqu\u00e9s, a pu \u00eatre empaquet\u00e9 dans une structure de 1,3 Mo. Le processus de g\u00e9n\u00e9ration de la structure est assez gourmand en ressources, mais il est effectu\u00e9 sur le serveur de Mozilla, et l'utilisateur re\u00e7oit une mise \u00e0 jour d\u00e9j\u00e0 pr\u00eate. Par exemple, sous forme binaire, les donn\u00e9es sources utilis\u00e9es pour la g\u00e9n\u00e9ration n\u00e9cessitent environ 16 Go de m\u00e9moire lorsqu'elles sont stock\u00e9es dans une base de donn\u00e9es Redis, et sous forme hexad\u00e9cimale, le dump de tous les num\u00e9ros de s\u00e9rie des certificats occupe environ 6,7 Go. Le processus d'agr\u00e9gation de tous les certificats r\u00e9voqu\u00e9s et actifs prend environ 40 minutes, et le processus de g\u00e9n\u00e9ration de la structure empaquet\u00e9e bas\u00e9e sur le filtre de Bloom n\u00e9cessite encore 20 minutes.<\/p>\n

Actuellement, Mozilla met \u00e0 jour la base de donn\u00e9es CRLite quatre fois par jour (toutes les mises \u00e0 jour ne sont pas livr\u00e9es aux clients). La g\u00e9n\u00e9ration de mises \u00e0 jour delta n'a pas encore \u00e9t\u00e9 mise en \u0153uvre \u2014 l'application de bsdiff4, utilis\u00e9e pour cr\u00e9er des mises \u00e0 jour delta des versions, ne garantit pas l'efficacit\u00e9 n\u00e9cessaire pour CRLite et les mises \u00e0 jour deviennent injustement volumineuses. Pour rem\u00e9dier \u00e0 ce probl\u00e8me, une refonte du format de stockage est pr\u00e9vue afin d'\u00e9liminer les reconstructions inutiles et la suppression des couches.<\/p>\n

CRLite fonctionne actuellement dans Firefox en mode passif et est utilis\u00e9 en parall\u00e8le avec OCSP pour accumuler des statistiques sur la pr\u00e9cision de son fonctionnement. CRLite peut \u00eatre activ\u00e9 en mode de v\u00e9rification principale, pour cela, il faut d\u00e9finir le param\u00e8tre security.pki.crlite_mode = 2 dans about:config.<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox \u043d\u043e\u0432\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043e\u0442\u043e\u0437\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 — CRLite. CRLite \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043e\u0442\u0437\u044b\u0432\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u043c\u043e\u0439 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u0432 Mozilla \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f CRLite \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u043f\u043e\u0434 \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0439 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 MPL 2.0. \u041a\u043e\u0434 \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0411\u0414 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Python \u0438 Go. \u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55146","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla impl\u00e9mente CRLite pour v\u00e9rifier les certificats TLS probl\u00e9matiques | ProHoster","description":"La soci\u00e9t\u00e9 Mozilla a annonc\u00e9 le d\u00e9but des tests dans les versions nocturnes de Firefox.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 CRLite \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043d\u044b\u0445 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-12T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55146","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:50:02","updated":"2022-10-10 06:24:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/55146","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=55146"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/55146\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=55146"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=55146"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=55146"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}