डीपीआई (एसएसएल निरीक्षण) क्रिप्टोग्राफी के मूल के विरुद्ध है, लेकिन कंपनियां इसे लागू कर रही हैं

विश्वास की शृंखला. सीसी बाय-एसए 4.0 यानपास

एसएसएल ट्रैफिक निरीक्षण (एसएसएल/टीएलएस डिक्रिप्शन, एसएसएल विश्लेषण या डीपीआई) उद्यम क्षेत्र में चर्चा का एक गर्म विषय बनता जा रहा है। ट्रैफ़िक को डिक्रिप्ट करने का विचार क्रिप्टोग्राफी की अवधारणा का विरोधाभासी प्रतीत होता है। हालांकि, तथ्य यह है कि अधिक से अधिक कंपनियां DPI प्रौद्योगिकियों का उपयोग कर रही हैं, और इसका कारण यह है कि सामग्री में मैलवेयर, डेटा लीक आदि की जांच करना आवश्यक है।

खैर, अगर हम इस तथ्य को स्वीकार करते हैं कि ऐसी तकनीक को लागू करने की आवश्यकता है, तो हमें कम से कम इसे सबसे सुरक्षित और प्रबंधनीय तरीके से करने के तरीकों पर विचार करना चाहिए। कम से कम उन प्रमाणपत्रों पर भरोसा न करें, उदाहरण के लिए, जो DPI सिस्टम प्रदाता आपको देता है।

कार्यान्वयन का एक पहलू ऐसा है जिसके बारे में हर कोई नहीं जानता। वास्तव में, कई लोग इसके बारे में सुनकर आश्चर्यचकित हो जाते हैं। यह एक निजी प्रमाणन प्राधिकरण (सीए) है। यह ट्रैफ़िक को डिक्रिप्ट और पुनः एन्क्रिप्ट करने के लिए प्रमाणपत्र तैयार करता है।

स्व-हस्ताक्षरित प्रमाणपत्रों या DPI डिवाइसों से प्राप्त प्रमाणपत्रों पर निर्भर रहने के बजाय, आप GlobalSign जैसे किसी तृतीय-पक्ष CA से समर्पित CA का उपयोग कर सकते हैं। लेकिन पहले, आइये समस्या पर एक त्वरित नजर डालें।

SSL निरीक्षण क्या है और इसका उपयोग क्यों किया जाता है?

अधिकाधिक सार्वजनिक वेबसाइटें HTTPS पर स्विच कर रही हैं। उदाहरण के लिए, क्रोम आँकड़ेसितंबर 2019 की शुरुआत में, रूस में एन्क्रिप्टेड ट्रैफ़िक का हिस्सा 83% तक पहुंच गया।

दुर्भाग्य से, ट्रैफ़िक एन्क्रिप्शन का उपयोग हमलावरों द्वारा तेजी से किया जा रहा है, खासकर तब जब लेट्स एन्क्रिप्ट स्वचालित मोड में हजारों मुफ्त एसएसएल प्रमाणपत्र वितरित करता है। इस प्रकार, HTTPS का प्रयोग हर जगह किया जाता है - और ब्राउज़र एड्रेस बार में लॉक सुरक्षा के विश्वसनीय संकेतक के रूप में काम करना बंद कर देता है।

इसी स्थिति से DPI समाधान निर्माता अपने उत्पादों का प्रचार करते हैं। वे अंतिम उपयोगकर्ताओं (अर्थात वेब ब्राउज करने वाले आपके कर्मचारी) और इंटरनेट के बीच में घुस जाते हैं, तथा दुर्भावनापूर्ण ट्रैफिक को छान देते हैं। आज बाजार में ऐसे अनेक उत्पाद उपलब्ध हैं, लेकिन उनकी प्रक्रिया मूलतः एक ही है। HTTPS ट्रैफ़िक एक चेकर से होकर गुजरता है, जहां इसे डिक्रिप्ट किया जाता है और मैलवेयर के लिए जांचा जाता है।

सत्यापन पूरा हो जाने पर, डिवाइस सामग्री को डिक्रिप्ट और पुनः एन्क्रिप्ट करने के लिए अंतिम क्लाइंट के साथ एक नया SSL सत्र बनाता है।

डिक्रिप्शन/पुनःएन्क्रिप्शन प्रक्रिया कैसे काम करती है?

किसी SSL निरीक्षण उपकरण को अंतिम उपयोगकर्ताओं को भेजने से पहले पैकेटों को डिक्रिप्ट और पुनः एन्क्रिप्ट करने के लिए, उसे तत्काल SSL प्रमाणपत्र जारी करने में सक्षम होना चाहिए। इसका मतलब यह है कि इसमें CA प्रमाणपत्र स्थापित होना चाहिए।

कंपनी (या अन्य मध्यस्थ) के लिए यह महत्वपूर्ण है कि ये SSL प्रमाणपत्र ब्राउज़रों द्वारा विश्वसनीय हों (अर्थात् नीचे दिए गए जैसे डरावने चेतावनी संदेश ट्रिगर न करें)। इसलिए, CA श्रृंखला (या पदानुक्रम) ब्राउज़र के ट्रस्ट स्टोर में होनी चाहिए। चूंकि ये प्रमाणपत्र सार्वजनिक रूप से विश्वसनीय CA से जारी नहीं किए जाते हैं, इसलिए आपको CA पदानुक्रम को सभी अंतिम ग्राहकों तक मैन्युअल रूप से वितरित करना होगा।

क्रोम में स्व-हस्ताक्षरित प्रमाणपत्र के लिए चेतावनी संदेश. स्रोत: BadSSL.com

На компьютерах с Windows можно задействовать Active Directory и групповые политики, но для мобильных устройств процедура сложнее.

स्थिति और भी जटिल हो जाती है यदि आपको कॉर्पोरेट वातावरण में अन्य रूट प्रमाणपत्रों का समर्थन करने की आवश्यकता होती है, जैसे कि माइक्रोसॉफ्ट या ओपनएसएसएल पर आधारित। इसके अलावा गुप्त कुंजियों की सुरक्षा और प्रबंधन भी किया जाता है ताकि कोई भी कुंजी अप्रत्याशित रूप से समाप्त न हो।

सर्वोत्तम विकल्प: किसी तृतीय-पक्ष CA से एक निजी, समर्पित रूट प्रमाणपत्र

यदि एकाधिक रूट्स या स्व-हस्ताक्षरित प्रमाणपत्रों का प्रबंधन करना आपको पसंद नहीं है, तो दूसरा विकल्प है: किसी तृतीय-पक्ष CA पर निर्भर रहना। इस मामले में, प्रमाण पत्र जारी किए जाते हैं निजी एक प्रमाणन प्राधिकरण जो कंपनी के लिए विशेष रूप से बनाए गए एक समर्पित, निजी रूट प्रमाणन प्राधिकरण से विश्वास की श्रृंखला में जुड़ा हुआ है।

समर्पित क्लाइंट रूट प्रमाणपत्रों के लिए सरलीकृत आर्किटेक्चर

यह व्यवस्था पहले बताई गई कुछ समस्याओं का समाधान करती है, कम से कम प्रबंधित की जाने वाली जड़ों की संख्या को कम करके। यहां, किसी भी संख्या में मध्यवर्ती CA के साथ सभी आंतरिक PKI आवश्यकताओं के लिए केवल एक निजी रूट CA का उपयोग किया जा सकता है। उदाहरण के लिए, ऊपर दिया गया चित्र एक बहु-स्तरीय पदानुक्रम दर्शाता है, जहां एक मध्यवर्ती CA का उपयोग SSL सत्यापन/डिक्रिप्शन के लिए किया जाता है, और दूसरे का उपयोग आंतरिक कंप्यूटरों (लैपटॉप, सर्वर, डेस्कटॉप, आदि) के लिए किया जाता है।

इस योजना में, सभी क्लाइंट्स पर CA होस्ट करने की आवश्यकता नहीं है, क्योंकि शीर्ष-स्तरीय CA को ग्लोबलसाइन द्वारा होस्ट किया जाता है, जो निजी कुंजी सुरक्षा और समाप्ति संबंधी मुद्दों को हल करता है।

इस दृष्टिकोण का एक अन्य लाभ किसी भी कारण से SSL निरीक्षण CA को रद्द करने की क्षमता है। इसके बजाय, यह बस एक नया रूट बनाता है जो आपके मूल निजी रूट से जुड़ा होता है, और आप इसे तुरंत उपयोग कर सकते हैं।

सभी विवादों के बावजूद, उद्यम अपने आंतरिक या निजी PKI बुनियादी ढांचे के हिस्से के रूप में SSL ट्रैफिक निरीक्षण को तेजी से लागू कर रहे हैं। निजी PKI के अन्य उपयोगों में डिवाइस या उपयोगकर्ता प्रमाणीकरण के लिए प्रमाणपत्र जारी करना, आंतरिक सर्वरों के लिए SSL, तथा विभिन्न कॉन्फ़िगरेशन शामिल हैं, जिनकी CA/ब्राउज़र फोरम द्वारा अपेक्षित सार्वजनिक रूप से विश्वसनीय प्रमाणपत्रों में अनुमति नहीं है।

ब्राउज़रों ने जवाबी हमला किया

यह ध्यान दिया जाना चाहिए कि ब्राउज़र डेवलपर्स इस प्रवृत्ति का मुकाबला करने और अंतिम उपयोगकर्ताओं को MiTM से बचाने की कोशिश कर रहे हैं। उदाहरण के लिए, कुछ दिन पहले मोज़िला एक निर्णय लिया फ़ायरफ़ॉक्स में निम्नलिखित ब्राउज़र संस्करणों में से किसी एक में डिफ़ॉल्ट रूप से DoH (DNS-over-HTTPS) प्रोटोकॉल सक्षम करें। DoH प्रोटोकॉल DNS अनुरोधों को DPI प्रणाली से छुपाता है, जिससे SSL निरीक्षण अधिक कठिन हो जाता है।

10 सितम्बर 2019 को इसी प्रकार की योजनाओं पर की घोषणा की क्रोम ब्राउज़र के लिए गूगल.

केवल पंजीकृत उपयोगकर्ता ही सर्वेक्षण में भाग ले सकते हैं। साइन इन करेंकृपया।

क्या आपको लगता है कि किसी कंपनी को अपने कर्मचारियों के SSL ट्रैफ़िक का निरीक्षण करने का अधिकार है?

• हाँ, उनकी सहमति से।

• नहीं, ऐसी सहमति मांगना अवैध और/या अनैतिक है।

122 उपयोगकर्ताओं ने मतदान किया। 15 उपयोगकर्ता अनुपस्थित रहे।

स्रोत: www.habr.com