{"id":55146,"date":"2020-01-13T00:00:00","date_gmt":"2020-01-12T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov"},"modified":"2020-02-18T14:03:13","modified_gmt":"2020-02-18T11:03:13","slug":"mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","title":{"rendered":"Mozilla implementa CRLite per verificare i certificati TLS problematici","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Azienda Mozilla ha annunciato<\/a><\/noindex> sull'inizio dei test nella versione notturna di Firefox di un nuovo meccanismo di revoca dei certificati CRLite<\/a><\/noindex>. CRLite consente di effettuare un'efficace verifica della revoca dei certificati attraverso un database ospitato sul sistema dell'utente. L'implementazione di CRLite sviluppata in Mozilla \u00e8 stata pubblicata<\/a><\/noindex> \u00e8 sotto licenza libera MPL 2.0. Il codice per la generazione del database e i componenti server sono scritti in Python<\/a><\/noindex> e Go. Le parti client aggiunte a Firefox per la lettura dei dati dal database sono stati preparati<\/a><\/noindex> sono scritte in Rust.<\/p>\n

Il metodo di verifica dei certificati ancora in uso che coinvolge servizi esterni basati sul protocollo OCSP<\/a><\/noindex> (Online Certificate Status Protocol) richiede un accesso di rete garantito, porta a un ritardo significativo nel trattamento delle richieste (in media 350 ms) e presenta problemi nella protezione della privacy (i server OCSP che rispondono alle richieste ricevono informazioni su certificati specifici, da cui si pu\u00f2 dedurre quali siti sta visitando l'utente). Esiste anche la possibilit\u00e0 di verifica locale tramite le liste CRL<\/a><\/noindex> (Certificate Revocation List), ma il difetto di questo metodo \u00e8 la grande dimensione dei dati da scaricare - attualmente il database dei certificati revocati occupa circa 300 MB e continua a crescere.<\/p>\n

Per bloccare i certificati compromessi e revocati dalle autorit\u00e0 di certificazione, Firefox utilizza dal 2015 una blacklist centralizzata OneCRL<\/a><\/noindex> in combinazione con l'accesso al servizio Google Safe Browsing<\/a><\/noindex> per identificare possibili attivit\u00e0 dannose. OneCRL, cos\u00ec come CRLSets<\/a><\/noindex> in Chrome, funge da anello intermedio che aggrega le liste CRL dalle autorit\u00e0 di certificazione e fornisce un servizio OCSP centralizzato per verificare i certificati revocati, consentendo di non inviare richieste direttamente alle autorit\u00e0 di certificazione. Nonostante il grande lavoro svolto per migliorare l'affidabilit\u00e0 del servizio di verifica online dei certificati, i dati della telemetria mostrano che oltre il 7% delle richieste OCSP termina con un timeout (qualche anno fa questa percentuale era del 15%). <\/p>\n

Per impostazione predefinita, se non \u00e8 possibile effettuare il controllo tramite OCSP, il browser considera il certificato valido. Il servizio pu\u00f2 non essere disponibile sia a causa di problemi di rete e delle restrizioni delle reti interne, sia bloccato dagli aggressori - per bypassare il controllo OCSP durante un attacco MITM \u00e8 sufficiente bloccare l'accesso al servizio di verifica. Parzialmente per prevenire attacchi simili \u00e8 stata implementata una tecnica Must-Staple<\/a><\/noindex>, che permette di interpretare un errore nell'accesso a OCSP o l'inaccessibilit\u00e0 di OCSP come un problema con il certificato, ma questa possibilit\u00e0 \u00e8 facoltativa e richiede una particolare formalizzazione del certificato. <\/p>\n

CRLite riduce le informazioni sui certificati revocati in una struttura facilmente aggiornabile, della dimensione di soli 1 MB, che consente di mantenere un database completo CRL sul lato cliente.
\nIl browser potr\u00e0 sincronizzare quotidianamente la propria copia dei dati sui certificati revocati, e questo database sar\u00e0 accessibile in qualsiasi condizione. <\/p>\n

CRLite combina informazioni da Certificate Transparency<\/a><\/noindex>, un registro pubblico di tutti i certificati emessi e revocati, e i risultati della scansione dei certificati su Internet (vengono raccolti vari elenchi CRL delle autorit\u00e0 di certificazione e aggregata l'informazione su tutti i certificati noti). I dati vengono impacchettati usando strutture a cascata Bloom<\/a><\/noindex>, una struttura probabilistica che ammette la falsa identificazione di un elemento mancante, ma esclude l'omissione di un elemento esistente (cio\u00e8, con una certa probabilit\u00e0 potrebbe avvenire un falso positivo su un certificato valido, ma i certificati revocati saranno garantiti come identificati). <\/p>\n

Per escludere falsi positivi in CRLite, sono stati introdotti ulteriori livelli di filtraggio correttivi. Dopo la generazione della struttura, viene effettuata una revisione di tutte le registrazioni sorgenti per identificare eventuali falsi positivi. Sulla base dei risultati di questo controllo, viene creata una struttura aggiuntiva che si sovrappone alla prima e corregge i falsi positivi emersi. L'operazione viene ripetuta fino a quando i falsi positivi non sono completamente esclusi durante il controllo. Di solito, per coprire completamente tutti i dati, \u00e8 sufficiente creare 7-10 strati. Poich\u00e9 lo stato del database a causa della sincronizzazione periodica \u00e8 leggermente in ritardo rispetto allo stato attuale CRL, il controllo dei nuovi certificati, emessi dopo l'ultimo aggiornamento del database CRLite, viene eseguito tramite il protocollo OCSP, inclusa l'uso della tecnica OCSP Stapling<\/a><\/noindex> (la risposta OCSP firmata dall'autorit\u00e0 di certificazione viene trasmessa dal server del sito durante l'accordo TLS della connessione).<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

Grazie ai filtri di Bloom, il campione di dicembre delle informazioni da WebPKI, che copre 100 milioni di certificati attivi e 750.000 certificati revocati, \u00e8 stato compresso in una struttura di dimensioni 1,3 MB. Il processo di generazione della struttura \u00e8 abbastanza intensivo in termini di risorse, ma viene eseguito sul server Mozilla e all'utente viene fornito un aggiornamento gi\u00e0 pronto. Ad esempio, in forma binaria, i dati sorgenti utilizzati per la generazione richiedono circa 16 GB di memoria se memorizzati nel database Redis, mentre in forma esadecimale il dump di tutti i numeri di serie dei certificati occupa circa 6,7 GB. Il processo di aggregazione di tutti i certificati revocati e attivi richiede circa 40 minuti, mentre il processo di generazione della struttura compressa basata sul filtro di Bloom richiede altri 20 minuti.<\/p>\n

Attualmente, Mozilla garantisce l'aggiornamento del database CRLite quattro volte al giorno (non tutti gli aggiornamenti vengono consegnati ai clienti). La generazione di aggiornamenti delta non \u00e8 ancora stata implementata - l'uso di bsdiff4, utilizzato per creare aggiornamenti delta delle versioni, non garantisce l'efficienza necessaria per CRLite e gli aggiornamenti risultano ingiustificatamente grandi. Per risolvere questo problema, \u00e8 previsto un ripensamento del formato della struttura di archiviazione per escludere ricostruzioni e rimozioni superflue.<\/p>\n

CRLite funziona attualmente in Firefox in modalit\u00e0 passiva ed \u00e8 utilizzato parallelamente con OCSP per raccogliere dati sulla correttezza operativa. CRLite pu\u00f2 essere trasferito in modalit\u00e0 di verifica principale; per farlo, in about:config \u00e8 necessario impostare il parametro security.pki.crlite_mode = 2.<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

Fonte: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox \u043d\u043e\u0432\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043e\u0442\u043e\u0437\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 — CRLite. CRLite \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043e\u0442\u0437\u044b\u0432\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u043c\u043e\u0439 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u0432 Mozilla \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f CRLite \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u043f\u043e\u0434 \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0439 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 MPL 2.0. \u041a\u043e\u0434 \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0411\u0414 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Python \u0438 Go. \u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55146","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla implementa CRLite per il controllo dei certificati TLS problematici | ProHoster","description":"Mozilla ha annunciato l'inizio dei test nelle versioni notturne di Firefox.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 CRLite \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043d\u044b\u0445 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox.","og:url":"https:\/\/prohoster.info\/it\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-12T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55146","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:50:02","updated":"2022-10-10 06:24:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55146","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=55146"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55146\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=55146"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=55146"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=55146"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}