Catena di fiducia. CC BY-SA 4.0
L'ispezione del traffico SSL (decodifica SSL/TLS, analisi SSL o DPI) sta diventando un argomento sempre più dibattuto nel settore aziendale. L'idea di decodificare il traffico sembra contraddire il concetto stesso di crittografia. Tuttavia, i fatti sono incontrovertibili: sempre più aziende utilizzano tecnologie DPI, giustificando ciò con la necessità di controllare i contenuti per malware, fughe di dati, ecc.
Dunque, se accettiamo la necessità di implementare questa tecnologia, dovremmo almeno considerare i modi per farlo nel modo più sicuro e gestibile possibile. Ad esempio, non dovremmo affidarci ai certificati che ci fornisce il fornitore del sistema DPI.
C'è un aspetto dell'implementazione di cui non tutti sono a conoscenza. In effetti, molte persone restano davvero sorprese quando ne sentono parlare. Si tratta di un'autorità di certificazione privata (CA). Questa genera certificati per decodificare e ri-criptare il traffico.
Invece di affidarsi a certificati autofirmati o a certificati provenienti da dispositivi DPI, puoi utilizzare un'autorità di certificazione dedicata di un'autorità di certificazione esterna, come GlobalSign. Ma prima, facciamo una piccola panoramica del problema stesso.
Che cos'è l'ispezione SSL e perché viene utilizzata?
Sempre più siti web pubblici stanno passando a HTTPS. Ad esempio, secondo , all'inizio di settembre 2019, la percentuale di traffico crittografato in Russia ha raggiunto l'83%.
Sfortunatamente, la crittografia del traffico è sempre più utilizzata anche dai criminali informatici, specialmente considerando che Let’s Encrypt distribuisce migliaia di certificati SSL gratuiti in modo automatizzato. Di conseguenza, HTTPS è utilizzato ovunque, e il lucchetto nella barra degli indirizzi del browser non è più un indicatore affidabile di sicurezza.
Da queste posizioni i produttori di soluzioni DPI promuovono i loro prodotti. Essi si interpongono tra gli utenti finali (cioè i tuoi dipendenti che navigano in internet) e Internet stesso, filtrando il traffico malevolo. Attualmente, sul mercato ci sono diversi di questi prodotti, ma i processi sono essenzialmente gli stessi. Il traffico HTTPS passa attraverso un dispositivo di verifica, dove viene decodificato e controllato per la presenza di malware.
Al termine della verifica, il dispositivo crea una nuova sessione SSL con il cliente finale per decrittografare e ri-crittografare il contenuto.
Come funziona il processo di decrittografia/ri-crittografia
Affinché il dispositivo di ispezione SSL possa decrittografare e ri-crittografare i pacchetti prima di inviarli agli utenti finali, deve essere in grado di emettere certificati SSL al volo. Ciò significa che deve avere installato un certificato CA.
Per l'azienda (o per un'altra persona intermedia) è importante che questi certificati SSL siano fidati nei browser (cioè non generino brutti messaggi di avviso, come quello mostrato di seguito). Pertanto, la catena CA (o gerarchia) deve trovarsi nello store di fiducia del browser. Poiché questi certificati non sono emessi da autorità di certificazione pubbliche e fidate, è necessario trasferire manualmente le gerarchie CA a tutti i client finali.
Messaggio di avviso per un certificato autofirmato in Chrome. Fonte:
Su computer con Windows, è possibile utilizzare Active Directory e le Group Policy, ma per i dispositivi mobili la procedura è più complessa.
La situazione si complica ulteriormente se è necessario supportare anche altre radici di certificato in un ambiente aziendale, ad esempio, da Microsoft o basate su OpenSSL. Inoltre, è necessario proteggere le chiavi segrete e gestirle, in modo che nessuna di queste chiavi scada in modo imprevisto.
La soluzione migliore: un certificato radice privato e dedicato da un'autorità di certificazione esterna.
Se la gestione di più radici o certificati autofirmati non è attraente, c'è un'altra opzione: ci si può fidare di un'autorità di certificazione esterna. In questo caso, i certificati vengono emessi da un'autorità di certificazione privata, che è collegata nella catena di fiducia a un'autorità di certificazione radice dedicata e privata, creata appositamente per l'azienda.
Architettura semplificata per certificati radice dedicati per i clienti
Questa configurazione elimina alcuni dei problemi menzionati in precedenza: almeno riduce il numero di root da gestire. Qui può essere utilizzato un solo centro di certificazione radice privato per tutte le necessità interne della PKI con qualsiasi numero di centri di certificazione intermedi. Ad esempio, nel diagramma sopra è mostrata una gerarchia multilivello, in cui uno dei centri di certificazione intermedi viene utilizzato per la verifica/decriptazione SSL e un altro per computer interni (portatili, server, desktop, ecc.).
In questo schema non è necessario posizionare CA su tutti i client, poiché la CA di livello superiore è ospitata da GlobalSign, risolvendo i problemi relativi alla protezione della chiave privata e alla sua scadenza.
Un ulteriore vantaggio di questo approccio è la possibilità di revocare il certificato di ispezione SSL per qualsiasi motivo. Invece, viene semplicemente creato un nuovo certificato collegato al tuo root privato originale, e può essere utilizzato immediatamente.
Nonostante tutte le controversie, le imprese stanno sempre più implementando l'ispezione SSL del traffico come parte dell'infrastruttura PKI interna o privata. Altri utilizzi della PKI privata includono l'emissione di certificati per l'autenticazione di dispositivi o utenti, SSL per server interni, oltre a diverse configurazioni che non sono consentite in certificati pubblicamente fidati secondo i requisiti del CA/Browser Forum.
I browser resistono
Bisogna notare che i developer dei browser stanno cercando di contrastare questa tendenza e di proteggere gli utenti finali da attacchi MiTM. Ad esempio, pochi giorni fa Mozilla ha annunciato di voler abilitare di default il protocollo DoH (DNS-over-HTTPS) in una delle prossime versioni del browser Firefox. Il protocollo DoH nasconde le query DNS dai sistemi DPI, rendendo difficile l'ispezione SSL.
Un piano simile è stato annunciato il 10 settembre 2019 da Google per il browser Chrome.
Solo gli utenti registrati possono partecipare al sondaggio. , per favore.
Secondo te, l'azienda ha il diritto di ispezionare il traffico SSL dei propri dipendenti?
Sì, con il loro consenso
No, richiedere tale consenso è illegale e/o poco etico
Hanno votato 122 utenti. Si sono astenuti 15 utenti.
Fonte: habr.com
