{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"A DPI (SSL ellen\u0151rz\u00e9s) ellentmond a kriptogr\u00e1fia l\u00e9nyeg\u00e9nek, de a v\u00e1llalatok bevezetik azt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"A
\nA bizalom l\u00e1nca. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

Az SSL forgalom ellen\u0151rz\u00e9s (SSL\/TLS dek\u00f3dol\u00e1s, SSL elemz\u00e9s vagy DPI) egyre nagyobb \u00e9rdekl\u0151d\u00e9st v\u00e1lt ki a v\u00e1llalati szektorban. Az \u00f6tlet, hogy dek\u00f3dolj\u00e1k a forgalmat, ellentmond a kriptogr\u00e1fia alapelveinek. Azonban a t\u00e9ny az t\u00e9ny: egyre t\u00f6bb c\u00e9g alkalmaz DPI technol\u00f3gi\u00e1t, magyar\u00e1zva ezt azzal, hogy sz\u00fcks\u00e9g van a tartalom ellen\u0151rz\u00e9s\u00e9re rosszindulat\u00fa programok \u00e9s adatlop\u00e1sok miatt.<\/p>\n

Nos, ha elfogadjuk, hogy sz\u00fcks\u00e9ges egy ilyen technol\u00f3gia bevezet\u00e9s\u00e9re, akkor legal\u00e1bb meg kell fontolni, hogyan lehet ezt a legbiztons\u00e1gosabb \u00e9s legjobban menedzselhet\u0151 m\u00f3don v\u00e9grehajtani. Legal\u00e1bb ne t\u00e1maszkodjunk az olyan tan\u00fas\u00edtv\u00e1nyokra, amelyeket p\u00e9ld\u00e1ul a DPI rendszer sz\u00e1ll\u00edt\u00f3ja ad.<\/p>\n

Van egy olyan megval\u00f3s\u00edt\u00e1si aspektus, amir\u0151l nem mindenki tud. Val\u00f3j\u00e1ban sokan meglep\u0151dnek, amikor hallanak r\u00f3la. Ez a priv\u00e1t tan\u00fas\u00edtv\u00e1nykibocs\u00e1t\u00f3 k\u00f6zpont (CA). Ez gener\u00e1l tan\u00fas\u00edtv\u00e1nyokat a forgalom dek\u00f3dol\u00e1s\u00e1hoz \u00e9s \u00fajra titkos\u00edt\u00e1s\u00e1hoz.
\n<\/a><\/noindex>
\nAhelyett, hogy \u00f6nal\u00e1\u00edrt tan\u00fas\u00edtv\u00e1nyokra vagy DPI eszk\u00f6z\u00f6k tan\u00fas\u00edtv\u00e1nyaira t\u00e1maszkodna, haszn\u00e1lhat egy dedik\u00e1lt CA-t egy harmadik f\u00e9l tan\u00fas\u00edt\u00f3 k\u00f6zpontt\u00f3l, mint p\u00e9ld\u00e1ul a GlobalSign. De el\u0151sz\u00f6r n\u00e9zz\u00fck \u00e1t r\u00f6viden mag\u00e1t a probl\u00e9m\u00e1t.<\/p>\n

Mi az SSL ellen\u0151rz\u00e9s \u00e9s mi\u00e9rt haszn\u00e1lj\u00e1k?<\/h2>\n

\nEgyre t\u00f6bb nyilv\u00e1nos weboldal v\u00e1lt HTTPS-re. P\u00e9ld\u00e1ul a Chrome statisztik\u00e1i szerint<\/a><\/noindex>, 2019 szeptember\u00e9nek elej\u00e9n az Oroszorsz\u00e1gban haszn\u00e1lt titkos\u00edtott forgalom ar\u00e1nya el\u00e9rte a 83%-ot.<\/p>\n

\"A<\/a><\/noindex><\/p>\n

Sajnos a forgalom titkos\u00edt\u00e1s\u00e1t egyre gyakrabban haszn\u00e1lj\u00e1k a kiberb\u0171n\u00f6z\u0151k is, f\u0151leg mivel a Let\u2019s Encrypt automatikusan ezrekkel oszt ingyenes SSL-tan\u00fas\u00edtv\u00e1nyokat. \u00cdgy az HTTPS sz\u00e9les k\u00f6rben elterjedt \u2014 a b\u00f6ng\u00e9sz\u0151 c\u00edmsor\u00e1ban megjelen\u0151 lakat m\u00e1r nem megb\u00edzhat\u00f3 biztons\u00e1gi indik\u00e1tor.<\/p>\n

Ezekb\u0151l a n\u00e9z\u0151pontokb\u00f3l t\u00e1mogatt\u00e1k term\u00e9k\u00fcket a DPI megold\u00e1sok gy\u00e1rt\u00f3i. K\u00f6zvetlen\u00fcl a v\u00e9gfelhaszn\u00e1l\u00f3k (azaz az oldalt b\u00f6ng\u00e9sz\u0151 alkalmazottak) \u00e9s az Internet k\u00f6z\u00f6tt helyezkednek el, kisz\u0171rve a rosszindulat\u00fa forgalmat. Jelenleg sz\u00e1mos ilyen term\u00e9k \u00e9rhet\u0151 el a piacon, de a folyamatok l\u00e9nyeg\u00e9ben hasonl\u00f3ak. A HTTPS forgalom \u00e1thalad egy ellen\u0151rz\u0151 eszk\u00f6z\u00f6n, ahol dek\u00f3dolj\u00e1k \u00e9s ellen\u0151rzik a rosszindulat\u00fa programok jelenl\u00e9t\u00e9t.<\/p>\n

A vizsg\u00e1lat befejez\u00e9se ut\u00e1n az eszk\u00f6z \u00faj SSL-munkamenetet hoz l\u00e9tre a v\u00e9gfelhaszn\u00e1l\u00f3val annak \u00e9rdek\u00e9ben, hogy dek\u00f3dolja \u00e9s \u00fajra titkos\u00edtsa a tartalmat.<\/p>\n

Hogyan m\u0171k\u00f6dik a dek\u00f3dol\u00e1s \/ \u00fajra titkos\u00edt\u00e1s folyamata<\/h2>\n

\nAhhoz, hogy az SSL-ellen\u0151rz\u0151 eszk\u00f6z dek\u00f3dolja \u00e9s \u00fajra titkos\u00edtsa a csomagokat a v\u00e9gfelhaszn\u00e1l\u00f3knak t\u00f6rt\u00e9n\u0151 elk\u00fcld\u00e9s el\u0151tt, k\u00e9pesnek kell lennie SSL-tan\u00fas\u00edtv\u00e1nyokat kiadni \u00e9l\u0151ben. Ez azt jelenti, hogy fel kell telep\u00edteni r\u00e1 egy CA-tan\u00fas\u00edtv\u00e1nyt.<\/p>\n

Fontos, hogy ezek a SSL-tan\u00fas\u00edtv\u00e1nyok megb\u00edzhat\u00f3k legyenek a b\u00f6ng\u00e9sz\u0151kben (azaz ne okozzanak r\u00e9miszt\u0151 figyelmeztet\u0151 \u00fczeneteket, hasonl\u00f3an az al\u00e1bbihoz). Ez\u00e9rt a CA-l\u00e1ncnak (vagy hierarchi\u00e1nak) a b\u00f6ng\u00e9sz\u0151 bizalmi t\u00e1rol\u00f3j\u00e1ban kell lennie. Mivel ezek a tan\u00fas\u00edtv\u00e1nyok nem a nyilv\u00e1nos, megb\u00edzhat\u00f3 tan\u00fas\u00edt\u00f3 k\u00f6zpontokb\u00f3l sz\u00e1rmaznak, manu\u00e1lisan kell \u00e1tadni a CA-hierarchi\u00e1t minden v\u00e9gfelhaszn\u00e1l\u00f3nak.<\/p>\n

\"A
\nFigyelmeztet\u0151 \u00fczenet az \u00f6nal\u00e1\u00edrt tan\u00fas\u00edtv\u00e1nyr\u00f3l a Chrome-ban. Forr\u00e1s: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

Windows g\u00e9peken az Active Directory \u00e9s a csoporth\u00e1zirendek alkalmazhat\u00f3k, de mobil eszk\u00f6z\u00f6k eset\u00e9n a folyamat bonyolultabb.<\/p>\n

A helyzet m\u00e9g bonyolultabb\u00e1 v\u00e1lik, ha a v\u00e1llalati k\u00f6rnyezetben m\u00e1s gy\u00f6k\u00e9r-tan\u00fas\u00edtv\u00e1nyok t\u00e1mogat\u00e1s\u00e1ra is sz\u00fcks\u00e9g van, p\u00e9ld\u00e1ul a Microsoft-t\u00f3l, vagy OpenSSL alap\u00faakkal. Plusz a titkos kulcsok v\u00e9delme \u00e9s kezel\u00e9se, hogy ne \u00e9v\u00fclj\u00f6n el v\u00e1ratlanul egyik kulcs sem.<\/p>\n

A legjobb megold\u00e1s: mag\u00e1n, dedik\u00e1lt gy\u00f6k\u00e9r-tan\u00fas\u00edtv\u00e1ny egy k\u00fcls\u0151 CA-t\u00f3l.<\/h2>\n

\nHa a t\u00f6bb gy\u00f6k\u00e9r kezel\u00e9se vagy az \u00f6nal\u00e1\u00edrt tan\u00fas\u00edtv\u00e1nyok nem vonz\u00f3ak, l\u00e9tezik egy m\u00e1sik megold\u00e1s: megb\u00edzhatunk egy k\u00fcls\u0151 CA-ban. Ebben az esetben a tan\u00fas\u00edtv\u00e1nyokat a k\u00f6vetkez\u0151 helyr\u0151l \u00e1ll\u00edtj\u00e1k ki: priv\u00e1t<\/b> tan\u00fas\u00edtv\u00e1nyoz\u00e1si k\u00f6zpont, amely a bizalmi l\u00e1ncban kapcsol\u00f3dik egy dedik\u00e1lt, priv\u00e1t gy\u00f6k\u00e9r tan\u00fas\u00edt\u00f3 k\u00f6zponthoz, amelyet kifejezetten a c\u00e9g sz\u00e1m\u00e1ra hoztak l\u00e9tre.<\/p>\n

\"A<\/a><\/noindex>
\nEgyszer\u0171s\u00edtett architekt\u00fara dedik\u00e1lt \u00fcgyf\u00e9l gy\u00f6k\u00e9r-tan\u00fas\u00edtv\u00e1nyokhoz.<\/i><\/p>\n

Ez a be\u00e1ll\u00edt\u00e1s cs\u00f6kkenti a kor\u00e1bban eml\u00edtett probl\u00e9m\u00e1k egy r\u00e9sz\u00e9t: legal\u00e1bbis cs\u00f6kkenti a kezelend\u0151 gy\u00f6kerek sz\u00e1m\u00e1t. Itt csak egy priv\u00e1t gy\u00f6k\u00e9r k\u00f6zpont haszn\u00e1lhat\u00f3 minden bels\u0151 PKI ig\u00e9nyhez, b\u00e1rmennyi k\u00f6ztes tan\u00fas\u00edtv\u00e1nykezel\u0151 k\u00f6zponttal. P\u00e9ld\u00e1ul a fent eml\u00edtett diagramon egy t\u00f6bbr\u00e9teg\u0171 hierarchia l\u00e1that\u00f3, ahol az egyik k\u00f6ztes tan\u00fas\u00edtv\u00e1nykezel\u0151 k\u00f6zpont az SSL \u00e9rv\u00e9nyes\u00edt\u00e9s\u00e9re\/dekripci\u00f3j\u00e1ra szolg\u00e1l, m\u00edg a m\u00e1sik a bels\u0151 sz\u00e1m\u00edt\u00f3g\u00e9pekhez (laptopok, szerverek, asztali sz\u00e1m\u00edt\u00f3g\u00e9pek stb.)<\/p>\n

Ebben a rendszerben nem sz\u00fcks\u00e9ges a CA-kat minden \u00fcgyf\u00e9ln\u00e9l elhelyezni, mert a legfels\u0151bb szint\u0171 CA a GlobalSign-n\u00e1l van, ami megoldja a priv\u00e1t kulcs v\u00e9delm\u00e9nek \u00e9s a lej\u00e1rati id\u0151 probl\u00e9m\u00e1it.<\/p>\n

E megk\u00f6zel\u00edt\u00e9s egy m\u00e1sik el\u0151nye a k\u00f6ztes SSL tan\u00fas\u00edtv\u00e1nyok visszavon\u00e1s\u00e1nak lehet\u0151s\u00e9ge b\u00e1rmilyen okb\u00f3l. Csak l\u00e9trehozunk egy \u00fajat, amely a megl\u00e9v\u0151 priv\u00e1t gy\u00f6ker\u00fcnkh\u00f6z kapcsol\u00f3dik, \u00e9s azonnal haszn\u00e1lhat\u00f3.<\/p>\n

A vit\u00e1k ellen\u00e9re a v\u00e1llalatok egyre ink\u00e1bb integr\u00e1lj\u00e1k az SSL forgalom ellen\u0151rz\u00e9s\u00e9t a bels\u0151 vagy priv\u00e1t PKI infrastrukt\u00far\u00e1juk r\u00e9szek\u00e9nt. A priv\u00e1t PKI m\u00e1s felhaszn\u00e1l\u00e1si lehet\u0151s\u00e9gei k\u00f6z\u00e9 tartozik a tan\u00fas\u00edtv\u00e1nyok kiad\u00e1sa eszk\u00f6z\u00f6k vagy felhaszn\u00e1l\u00f3k hiteles\u00edt\u00e9s\u00e9re, SSL bels\u0151 szerverek sz\u00e1m\u00e1ra, valamint olyan k\u00fcl\u00f6nb\u00f6z\u0151 konfigur\u00e1ci\u00f3k, amelyek nem megengedettek nyilv\u00e1nos megb\u00edzhat\u00f3 tan\u00fas\u00edtv\u00e1nyok eset\u00e9n a CA\/Browser Forum k\u00f6vetelm\u00e9nyeivel \u00f6sszhangban.<\/p>\n

A b\u00f6ng\u00e9sz\u0151k ellen\u00e1llnak<\/h2>\n

\n\u00c9rdemes megjegyezni, hogy a b\u00f6ng\u00e9sz\u0151fejleszt\u0151k pr\u00f3b\u00e1lnak ellen\u00e1llni ennek a tendenci\u00e1nak \u00e9s megv\u00e9deni a v\u00e9gfelhaszn\u00e1l\u00f3kat a MiTM-t\u0151l. P\u00e9ld\u00e1ul n\u00e9h\u00e1ny nappal ezel\u0151tt a Mozilla d\u00f6nt\u00e9st hozott<\/a><\/noindex> alap\u00e9rtelmez\u00e9s szerint be k\u00edv\u00e1nja \u00e9p\u00edteni a DoH (DNS-over-HTTPS) protokollt a Firefox k\u00f6vetkez\u0151 verzi\u00f3j\u00e1ba. A DoH protokoll elrejti a DNS-lek\u00e9rdez\u00e9seket a DPI-rendszerek el\u0151l, megnehez\u00edtve az SSL ellen\u0151rz\u00e9st.<\/p>\n

Hasonl\u00f3 tervekr\u0151l 2019. szeptember 10-\u00e9n bejelentette<\/a><\/noindex> a Google a Chrome b\u00f6ng\u00e9sz\u0151 sz\u00e1m\u00e1ra.<\/p>\n

\"A<\/a><\/noindex><\/p>\n

Csak a regisztr\u00e1lt felhaszn\u00e1l\u00f3k vehetnek r\u00e9szt a szavaz\u00e1son. K\u00e9rem, jelentkezzen be.<\/a><\/noindex>, k\u00e9rem.<\/p>\n

Mit gondol, van joga a c\u00e9gnek ellen\u0151rizni az alkalmazottai SSL-forgalm\u00e1t?<\/h2>\n