મોઝિલા સમસ્યારૂપ TLS પ્રમાણપત્રો તપાસવા માટે CRLite લાગુ કરે છે

મોઝિલા કંપની જાહેરાત કરી ફાયરફોક્સના રાત્રિના બિલ્ડ્સમાં પરીક્ષણની શરૂઆત વિશે રદ કરાયેલ પ્રમાણપત્રો શોધવા માટે એક નવી પદ્ધતિ - CRLite. CRLite તમને વપરાશકર્તાની સિસ્ટમ પર હોસ્ટ કરેલા ડેટાબેઝ સામે અસરકારક પ્રમાણપત્ર રદબાતલ તપાસનું આયોજન કરવાની મંજૂરી આપે છે. મોઝિલાનું CRLite અમલીકરણ પ્રકાશિત મફત MPL 2.0 લાયસન્સ હેઠળ. ડેટાબેઝ અને સર્વર ઘટકો જનરેટ કરવા માટેનો કોડ લખેલ છે પાયથોન અને જાઓ. ડેટાબેઝમાંથી ડેટા વાંચવા માટે ક્લાયન્ટ ભાગો ફાયરફોક્સમાં ઉમેરવામાં આવ્યા છે તૈયાર રસ્ટ ભાષામાં.

હજુ પણ ઉપયોગમાં લેવાતા પ્રોટોકોલના આધારે બાહ્ય સેવાઓનો ઉપયોગ કરીને પ્રમાણપત્રની ચકાસણી ઓ.સી.પી. (ઓનલાઈન સર્ટિફિકેટ સ્ટેટસ પ્રોટોકોલ) ને બાંયધરીકૃત નેટવર્ક ઍક્સેસની જરૂર છે, વિનંતી પ્રક્રિયામાં નોંધપાત્ર વિલંબ તરફ દોરી જાય છે (સરેરાશ 350ms) અને ગોપનીયતાની ખાતરી કરવામાં સમસ્યા છે (વિનંતીનો જવાબ આપતા OCSP સર્વર્સ ચોક્કસ પ્રમાણપત્રો વિશે માહિતી મેળવે છે, જેનો ઉપયોગ નક્કી કરવા માટે થઈ શકે છે કે શું વપરાશકર્તા જે સાઇટ્સ ખોલે છે). યાદીઓ સામે સ્થાનિક ચેકિંગની પણ શક્યતા છે સીઆરએલ (પ્રમાણપત્ર રદ કરવાની સૂચિ), પરંતુ આ પદ્ધતિનો ગેરલાભ એ ડાઉનલોડ કરેલ ડેટાનું ખૂબ મોટું કદ છે - હાલમાં રદ કરાયેલ પ્રમાણપત્રોનો ડેટાબેઝ લગભગ 300 MB ધરાવે છે અને તેની વૃદ્ધિ ચાલુ રહે છે.

સર્ટિફિકેશન ઓથોરિટીઓ દ્વારા ચેડા કરવામાં આવેલા અને રદ કરવામાં આવેલા પ્રમાણપત્રોને બ્લોક કરવા માટે, ફાયરફોક્સે 2015 થી કેન્દ્રિય બ્લેકલિસ્ટનો ઉપયોગ કર્યો છે. વનસીઆરએલ સેવા માટે કૉલ સાથે સંયોજનમાં ગૂગલ સેફ બ્રાઉઝિંગ સંભવિત દૂષિત પ્રવૃત્તિને ઓળખવા માટે. OneCRL, જેમ CRLSets ક્રોમમાં, એક મધ્યવર્તી લિંક તરીકે કાર્ય કરે છે જે પ્રમાણપત્ર સત્તાવાળાઓ પાસેથી સીઆરએલ સૂચિઓને એકીકૃત કરે છે અને રદ કરાયેલ પ્રમાણપત્રોને તપાસવા માટે સિંગલ સેન્ટ્રલાઇઝ્ડ OCSP સેવા પ્રદાન કરે છે, જેનાથી પ્રમાણપત્ર અધિકારીઓને સીધી વિનંતીઓ મોકલવાનું શક્ય નથી. ઓનલાઈન સર્ટિફિકેટ વેરિફિકેશન સર્વિસની વિશ્વસનીયતા સુધારવા માટે ઘણું કામ કરવા છતાં, ટેલિમેટ્રી ડેટા દર્શાવે છે કે OCSP માંથી 7% થી વધુ સમય સમાપ્ત થાય છે (થોડા વર્ષો પહેલા આ આંકડો 15% હતો).

ડિફૉલ્ટ રૂપે, જો OCSP દ્વારા ચકાસવું અશક્ય છે, તો બ્રાઉઝર પ્રમાણપત્રને માન્ય માને છે. નેટવર્ક સમસ્યાઓ અને આંતરિક નેટવર્ક્સ પરના પ્રતિબંધોને લીધે સેવા અનુપલબ્ધ હોઈ શકે છે, અથવા હુમલાખોરો દ્વારા અવરોધિત થઈ શકે છે - MITM હુમલા દરમિયાન OCSP ચેકને બાયપાસ કરવા માટે, ફક્ત ચેક સેવાની ઍક્સેસને અવરોધિત કરો. આંશિક રીતે આવા હુમલાઓને રોકવા માટે, એક તકનીક અમલમાં મૂકવામાં આવી છે મસ્ટ-સ્ટેપલ, જે તમને પ્રમાણપત્રની સમસ્યા તરીકે OCSP ઍક્સેસ ભૂલ અથવા OCSP અનુપલબ્ધતાને ધ્યાનમાં લેવાની મંજૂરી આપે છે, પરંતુ આ સુવિધા વૈકલ્પિક છે અને પ્રમાણપત્રની વિશેષ નોંધણીની જરૂર છે.

CRLite તમને તમામ રદ કરાયેલા પ્રમાણપત્રો વિશેની સંપૂર્ણ માહિતીને સરળતાથી અપડેટ કરેલ સ્ટ્રક્ચરમાં એકીકૃત કરવાની મંજૂરી આપે છે, માત્ર 1 MB નું કદ, જે ક્લાયંટ બાજુ પર સંપૂર્ણ CRL ડેટાબેઝ સંગ્રહિત કરવાનું શક્ય બનાવે છે.
બ્રાઉઝર રદ કરાયેલ પ્રમાણપત્રો વિશેના ડેટાની તેની નકલને દરરોજ સમન્વયિત કરવામાં સક્ષમ હશે, અને આ ડેટાબેઝ કોઈપણ શરતો હેઠળ ઉપલબ્ધ રહેશે.

CRLite માંથી માહિતીને જોડે છે પ્રમાણપત્ર પારદર્શિતા, જારી કરાયેલા અને રદ કરાયેલા તમામ પ્રમાણપત્રોનો સાર્વજનિક લોગ, અને ઈન્ટરનેટ પર પ્રમાણપત્રો સ્કેન કરવાના પરિણામો (પ્રમાણપત્ર સત્તાધિકારીઓની વિવિધ CRL યાદીઓ એકત્રિત કરવામાં આવે છે અને તમામ જાણીતા પ્રમાણપત્રો વિશેની માહિતી એકત્ર કરવામાં આવે છે). કેસ્કેડીંગનો ઉપયોગ કરીને ડેટા પેક કરવામાં આવે છે બ્લૂમ ફિલ્ટર્સ, એક સંભવિત માળખું જે ગુમ થયેલ તત્વની ખોટા શોધને મંજૂરી આપે છે, પરંતુ અસ્તિત્વમાંના તત્વની બાદબાકીને બાકાત રાખે છે (એટલે ​​​​કે, ચોક્કસ સંભાવના સાથે, સાચા પ્રમાણપત્ર માટે ખોટા હકારાત્મક શક્ય છે, પરંતુ રદ કરાયેલ પ્રમાણપત્રોને ઓળખવાની ખાતરી આપવામાં આવે છે).

ખોટા હકારાત્મકને દૂર કરવા માટે, CRLite એ વધારાના સુધારાત્મક ફિલ્ટર સ્તરો રજૂ કર્યા છે. માળખું જનરેટ કર્યા પછી, બધા સ્રોત રેકોર્ડ્સ શોધવામાં આવે છે અને કોઈપણ ખોટા હકારાત્મક ઓળખવામાં આવે છે. આ તપાસના પરિણામોના આધારે, એક વધારાનું માળખું બનાવવામાં આવે છે, જે પ્રથમ એક પર કાસ્કેડ કરવામાં આવે છે અને પરિણામી ખોટા હકારાત્મકને સુધારે છે. જ્યાં સુધી નિયંત્રણ તપાસ દરમિયાન ખોટા સકારાત્મકતા સંપૂર્ણપણે નાબૂદ ન થાય ત્યાં સુધી ઓપરેશનનું પુનરાવર્તન કરવામાં આવે છે. સામાન્ય રીતે, 7-10 સ્તરો બનાવવા એ તમામ ડેટાને સંપૂર્ણપણે આવરી લેવા માટે પૂરતું છે. ડેટાબેઝની સ્થિતિ, સામયિક સિંક્રનાઇઝેશનને કારણે, CRL ની વર્તમાન સ્થિતિથી થોડી પાછળ રહે છે, CRLite ડેટાબેઝના છેલ્લા અપડેટ પછી જારી કરાયેલ નવા પ્રમાણપત્રોની ચકાસણી OCSP પ્રોટોકોલનો ઉપયોગ કરીને હાથ ધરવામાં આવે છે, જેમાં OCSP સ્ટેપલિંગ (ટીએલએસ કનેક્શનની વાટાઘાટો કરતી વખતે સર્ટિફિકેશન ઓથોરિટી દ્વારા પ્રમાણિત OCSP પ્રતિસાદ સાઇટને સેવા આપતા સર્વર દ્વારા પ્રસારિત કરવામાં આવે છે).

બ્લૂમ ફિલ્ટર્સનો ઉપયોગ કરીને, 100 મિલિયન સક્રિય પ્રમાણપત્રો અને 750 હજાર રદ કરાયેલ પ્રમાણપત્રોને આવરી લેતી WebPKI ની માહિતીનો ડિસેમ્બર સ્લાઇસ, 1.3 MB કદના માળખામાં પેક કરવામાં સક્ષમ હતો. સ્ટ્રક્ચર જનરેશન પ્રક્રિયા તદ્દન સંસાધન-સઘન છે, પરંતુ તે મોઝિલા સર્વર પર કરવામાં આવે છે અને વપરાશકર્તાને તૈયાર અપડેટ આપવામાં આવે છે. ઉદાહરણ તરીકે, દ્વિસંગી સ્વરૂપમાં, જનરેશન દરમિયાન વપરાતા સ્ત્રોત ડેટાને રેડિસ ડીબીએમએસમાં સંગ્રહિત કરવામાં આવે ત્યારે લગભગ 16 જીબી મેમરીની જરૂર પડે છે અને હેક્સાડેસિમલ સ્વરૂપમાં, તમામ પ્રમાણપત્ર સીરીયલ નંબરનો ડમ્પ લગભગ 6.7 જીબી લે છે. બધા રદ કરાયેલ અને સક્રિય પ્રમાણપત્રોને એકત્ર કરવાની પ્રક્રિયામાં લગભગ 40 મિનિટનો સમય લાગે છે, અને બ્લૂમ ફિલ્ટર પર આધારિત પેકેજ્ડ સ્ટ્રક્ચર બનાવવાની પ્રક્રિયામાં વધુ 20 મિનિટનો સમય લાગે છે.

મોઝિલા હાલમાં સુનિશ્ચિત કરે છે કે CRLite ડેટાબેઝ દિવસમાં ચાર વખત અપડેટ થાય છે (તમામ અપડેટ ક્લાયંટને વિતરિત કરવામાં આવતા નથી). ડેલ્ટા અપડેટ્સનું જનરેશન હજી અમલમાં આવ્યું નથી - bsdiff4 નો ઉપયોગ, જે રીલીઝ માટે ડેલ્ટા અપડેટ્સ બનાવવા માટે વપરાય છે, તે CRLite માટે પર્યાપ્ત કાર્યક્ષમતા પ્રદાન કરતું નથી અને અપડેટ્સ ગેરવાજબી રીતે મોટા છે. આ ખામીને દૂર કરવા માટે, બિનજરૂરી પુનઃનિર્માણ અને સ્તરોને કાઢી નાખવા માટે સ્ટોરેજ સ્ટ્રક્ચરના ફોર્મેટને ફરીથી કાર્ય કરવાની યોજના છે.

CRLite હાલમાં ફાયરફોક્સમાં નિષ્ક્રિય મોડમાં કામ કરે છે અને યોગ્ય કામગીરી વિશે આંકડા એકઠા કરવા માટે OCSP સાથે સમાંતર ઉપયોગમાં લેવાય છે. CRLite ને મુખ્ય સ્કેન મોડ પર સ્વિચ કરી શકાય છે; આ કરવા માટે, તમારે પેરામીટર security.pki.crlite_mode = 2 in about:config માં સેટ કરવાની જરૂર છે.

સોર્સ: opennet.ru