DPI (SSL ઇન્સ્પેક્શન) ક્રિપ્ટોગ્રાફીના અનાજની વિરુદ્ધ જાય છે, પરંતુ કંપનીઓ તેનો અમલ કરી રહી છે

વિશ્વાસની સાંકળ. CC BY-SA 4.0 યાનપાસ

કોર્પોરેટ સેક્ટરમાં SSL ટ્રાફિક ઇન્સ્પેક્શન (SSL/TLS ડિક્રિપ્શન, SSL અથવા DPI વિશ્લેષણ) વધુને વધુ ચર્ચાનો વિષય બની રહ્યો છે. ટ્રાફિકને ડિક્રિપ્ટ કરવાનો વિચાર ક્રિપ્ટોગ્રાફીના ખૂબ જ ખ્યાલનો વિરોધાભાસી લાગે છે. જો કે, હકીકત એ હકીકત છે: વધુ અને વધુ કંપનીઓ DPI તકનીકોનો ઉપયોગ કરી રહી છે, જે માલવેર, ડેટા લીક વગેરે માટે સામગ્રી તપાસવાની જરૂરિયાત દ્વારા સમજાવે છે.

ઠીક છે, જો આપણે એ હકીકતને સ્વીકારીએ કે આવી ટેક્નોલોજીનો અમલ કરવાની જરૂર છે, તો આપણે ઓછામાં ઓછું તે શક્ય તેટલા સલામત અને સૌથી વધુ સારી રીતે સંચાલિત રીતે કરવાની રીતો ધ્યાનમાં લેવી જોઈએ. ઓછામાં ઓછા તે પ્રમાણપત્રો પર આધાર રાખશો નહીં, ઉદાહરણ તરીકે, DPI સિસ્ટમ સપ્લાયર તમને આપે છે.

અમલીકરણનું એક પાસું છે જેના વિશે દરેક જણ જાણતા નથી. હકીકતમાં, જ્યારે તેઓ તેના વિશે સાંભળે છે ત્યારે ઘણા લોકો ખરેખર આશ્ચર્યચકિત થાય છે. આ પ્રાઈવેટ સર્ટિફિકેશન ઓથોરિટી (CA) છે. તે ટ્રાફિકને ડિક્રિપ્ટ અને ફરીથી એન્ક્રિપ્ટ કરવા માટે પ્રમાણપત્રો જનરેટ કરે છે.

DPI ઉપકરણોમાંથી સ્વ-હસ્તાક્ષરિત પ્રમાણપત્રો અથવા પ્રમાણપત્રો પર આધાર રાખવાને બદલે, તમે ગ્લોબલસાઇન જેવા તૃતીય-પક્ષ પ્રમાણપત્ર સત્તાધિકારી તરફથી સમર્પિત CA નો ઉપયોગ કરી શકો છો. પરંતુ પ્રથમ, ચાલો સમસ્યાનું જ થોડું વિહંગાવલોકન કરીએ.

SSL નિરીક્ષણ શું છે અને તેનો ઉપયોગ શા માટે થાય છે?

વધુ અને વધુ સાર્વજનિક વેબસાઇટ્સ HTTPS પર જઈ રહી છે. ઉદાહરણ તરીકે, અનુસાર ક્રોમ આંકડા, સપ્ટેમ્બર 2019 ની શરૂઆતમાં, રશિયામાં એન્ક્રિપ્ટેડ ટ્રાફિકનો હિસ્સો 83% સુધી પહોંચ્યો હતો.

કમનસીબે, હુમલાખોરો દ્વારા ટ્રાફિક એન્ક્રિપ્શનનો વધુને વધુ ઉપયોગ કરવામાં આવી રહ્યો છે, ખાસ કરીને કારણ કે લેટ્સ એન્ક્રિપ્ટ હજારો મફત SSL પ્રમાણપત્રોનું સ્વયંચાલિત રીતે વિતરણ કરે છે. આમ, HTTPS નો ઉપયોગ દરેક જગ્યાએ થાય છે - અને બ્રાઉઝર એડ્રેસ બારમાં પેડલોક સુરક્ષાના વિશ્વસનીય સૂચક તરીકે સેવા આપવાનું બંધ કરી દીધું છે.

ડીપીઆઈ સોલ્યુશનના ઉત્પાદકો આ સ્થાનોથી તેમના ઉત્પાદનોનો પ્રચાર કરે છે. તેઓ દૂષિત ટ્રાફિકને ફિલ્ટર કરીને અંતિમ વપરાશકર્તાઓ (એટલે ​​​​કે તમારા કર્મચારીઓ વેબ બ્રાઉઝ કરી રહેલા) અને ઇન્ટરનેટ વચ્ચે એમ્બેડ કરેલા છે. આજે બજારમાં આવા સંખ્યાબંધ ઉત્પાદનો છે, પરંતુ પ્રક્રિયાઓ આવશ્યકપણે સમાન છે. HTTPS ટ્રાફિક એક નિરીક્ષણ ઉપકરણમાંથી પસાર થાય છે જ્યાં તેને ડિક્રિપ્ટ કરવામાં આવે છે અને માલવેર માટે તપાસવામાં આવે છે.

એકવાર ચકાસણી પૂર્ણ થઈ જાય પછી, ઉપકરણ સામગ્રીને ડિક્રિપ્ટ અને ફરીથી એન્ક્રિપ્ટ કરવા માટે અંતિમ ક્લાયન્ટ સાથે એક નવું SSL સત્ર બનાવે છે.

ડિક્રિપ્શન/રી-એન્ક્રિપ્શન પ્રક્રિયા કેવી રીતે કાર્ય કરે છે

SSL ઇન્સ્પેક્શન એપ્લાયન્સ પેકેટોને અંતિમ વપરાશકર્તાઓને મોકલતા પહેલા તેને ડિક્રિપ્ટ અને ફરીથી એન્ક્રિપ્ટ કરવા માટે, તે ફ્લાય પર SSL પ્રમાણપત્રો જારી કરવામાં સક્ષમ હોવા જોઈએ. આનો અર્થ એ છે કે તેની પાસે CA પ્રમાણપત્ર સ્થાપિત હોવું આવશ્યક છે.

કંપની (અથવા જે કોઈ પણ-મધ્યમ છે) માટે તે મહત્વપૂર્ણ છે કે આ SSL પ્રમાણપત્રો બ્રાઉઝર્સ દ્વારા વિશ્વસનીય છે (એટલે ​​​​કે, નીચે આપેલા જેવા ડરામણા ચેતવણી સંદેશાઓને ટ્રિગર કરશો નહીં). તેથી CA સાંકળ (અથવા હાયરાર્કી) બ્રાઉઝરના ટ્રસ્ટ સ્ટોરમાં હોવી જોઈએ. કારણ કે આ પ્રમાણપત્રો સાર્વજનિક રૂપે વિશ્વસનીય પ્રમાણપત્ર સત્તાવાળાઓ તરફથી જારી કરવામાં આવતાં નથી, તમારે બધા અંતિમ ક્લાયંટને CA વંશવેલો મેન્યુઅલી વિતરિત કરવું આવશ્યક છે.

Chrome માં સ્વ-હસ્તાક્ષરિત પ્રમાણપત્ર માટે ચેતવણી સંદેશ. સ્ત્રોત: BadSSL.com

На компьютерах с Windows можно задействовать Active Directory и групповые политики, но для мобильных устройств процедура сложнее.

જો તમારે કોર્પોરેટ વાતાવરણમાં અન્ય રૂટ પ્રમાણપત્રોને સમર્થન આપવાની જરૂર હોય તો પરિસ્થિતિ વધુ જટિલ બની જાય છે, ઉદાહરણ તરીકે, Microsoft તરફથી અથવા OpenSSL પર આધારિત. પ્લસ ખાનગી કીનું રક્ષણ અને સંચાલન જેથી કરીને કોઈપણ કી અણધારી રીતે સમાપ્ત ન થાય.

શ્રેષ્ઠ વિકલ્પ: તૃતીય પક્ષ CA તરફથી ખાનગી, સમર્પિત રૂટ પ્રમાણપત્ર

જો બહુવિધ રૂટ અથવા સ્વ-હસ્તાક્ષરિત પ્રમાણપત્રોનું સંચાલન કરવું આકર્ષક ન હોય, તો બીજો વિકલ્પ છે: તૃતીય-પક્ષ CA પર આધાર રાખવો. આ કિસ્સામાં, પ્રમાણપત્રો તરફથી જારી કરવામાં આવે છે ખાનગી CA કે જે કંપની માટે ખાસ બનાવેલ સમર્પિત, ખાનગી રૂટ CA સાથે વિશ્વાસની સાંકળમાં જોડાયેલ છે.

સમર્પિત ક્લાયન્ટ રુટ પ્રમાણપત્રો માટે સરળ આર્કિટેક્ચર

આ સેટઅપ અગાઉ ઉલ્લેખિત કેટલીક સમસ્યાઓને દૂર કરે છે: ઓછામાં ઓછું તે મૂળની સંખ્યા ઘટાડે છે જેને સંચાલિત કરવાની જરૂર છે. અહીં તમે કોઈપણ સંખ્યાના મધ્યવર્તી CA સાથે તમામ આંતરિક PKI જરૂરિયાતો માટે માત્ર એક ખાનગી રૂટ ઓથોરિટીનો ઉપયોગ કરી શકો છો. ઉદાહરણ તરીકે, ઉપરોક્ત રેખાકૃતિ બહુ-સ્તરીય વંશવેલો બતાવે છે જ્યાં એક મધ્યવર્તી CA નો ઉપયોગ SSL ચકાસણી/ડિક્રિપ્શન માટે થાય છે અને બીજાનો ઉપયોગ આંતરિક કમ્પ્યુટર્સ (લેપટોપ્સ, સર્વર્સ, ડેસ્કટોપ્સ, વગેરે) માટે થાય છે.

આ ડિઝાઇનમાં, બધા ક્લાયન્ટ્સ પર CA હોસ્ટ કરવાની જરૂર નથી કારણ કે ગ્લોબલસાઇન દ્વારા ઉચ્ચ-સ્તરનું CA હોસ્ટ કરવામાં આવે છે, જે ખાનગી કી સુરક્ષા અને સમાપ્તિ સમસ્યાઓનું નિરાકરણ કરે છે.

આ અભિગમનો બીજો ફાયદો એ છે કે કોઈપણ કારણોસર SSL નિરીક્ષણ સત્તાને રદ કરવાની ક્ષમતા. તેના બદલે, એક નવું સરળ રીતે બનાવવામાં આવે છે, જે તમારા મૂળ ખાનગી મૂળ સાથે જોડાયેલું છે, અને તમે તેનો તરત જ ઉપયોગ કરી શકો છો.

તમામ વિવાદો હોવા છતાં, એન્ટરપ્રાઈઝ તેમના આંતરિક અથવા ખાનગી PKI ઈન્ફ્રાસ્ટ્રક્ચરના ભાગ રૂપે SSL ટ્રાફિક નિરીક્ષણનો વધુને વધુ અમલ કરી રહ્યાં છે. ખાનગી PKI માટેના અન્ય ઉપયોગોમાં ઉપકરણ અથવા વપરાશકર્તા પ્રમાણીકરણ, આંતરિક સર્વર્સ માટે SSL અને CA/બ્રાઉઝર ફોરમ દ્વારા આવશ્યકતા મુજબ જાહેર વિશ્વસનીય પ્રમાણપત્રોમાં મંજૂરી ન હોય તેવા વિવિધ રૂપરેખાંકનોનો સમાવેશ થાય છે.

બ્રાઉઝર્સ પાછા લડી રહ્યા છે

એ નોંધવું જોઈએ કે બ્રાઉઝર ડેવલપર્સ આ વલણનો સામનો કરવાનો પ્રયાસ કરી રહ્યા છે અને અંતિમ વપરાશકર્તાઓને MiTM થી સુરક્ષિત કરે છે. ઉદાહરણ તરીકે, થોડા દિવસો પહેલા મોઝિલા નિર્ણય લીધો Firefox માં આગલા બ્રાઉઝર સંસ્કરણોમાંથી એકમાં મૂળભૂત રીતે DoH (DNS-over-HTTPS) પ્રોટોકોલને સક્ષમ કરો. DoH પ્રોટોકોલ DPI સિસ્ટમમાંથી DNS ક્વેરીઝને છુપાવે છે, જેનાથી SSL નિરીક્ષણ મુશ્કેલ બને છે.

10 સપ્ટેમ્બર, 2019ના સમાન પ્લાન વિશે જાહેરાત કરી ક્રોમ બ્રાઉઝર માટે Google.

ફક્ત નોંધાયેલા વપરાશકર્તાઓ જ સર્વેમાં ભાગ લઈ શકે છે. સાઇન ઇન કરો, મહેરબાની કરીને.

શું તમને લાગે છે કે કંપનીને તેના કર્મચારીઓના SSL ટ્રાફિકનું નિરીક્ષણ કરવાનો અધિકાર છે?

• હા, તેમની સંમતિથી

• ના, આવી સંમતિ માટે પૂછવું ગેરકાયદેસર અને/અથવા અનૈતિક છે

122 વપરાશકર્તાઓએ મત ​​આપ્યો. 15 વપરાશકર્તાઓ દૂર રહ્યા.

સોર્સ: www.habr.com