{"id":55146,"date":"2020-01-13T00:00:00","date_gmt":"2020-01-12T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov"},"modified":"2020-02-18T14:03:13","modified_gmt":"2020-02-18T11:03:13","slug":"mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","title":{"rendered":"Mozilla implementa CRLite per il controllo dei certificati TLS problematici","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'azienda Mozilla ha annunciato<\/a><\/noindex> sull'inizio dei test nelle versioni notturne di Firefox di un nuovo meccanismo per la determinazione delle richieste di revoca dei certificati \u2014 CRLite<\/a><\/noindex>. CRLite consente di organizzare un'efficace verifica della revoca dei certificati utilizzando un database ospitato sul sistema dell'utente. L'implementazione di CRLite sviluppata da Mozilla pubblicata<\/a><\/noindex> \u00e8 sotto licenza libera MPL 2.0. Il codice per la generazione del database e i componenti server sono scritti in Python<\/a><\/noindex> e Go. Le parti client aggiunte a Firefox per leggere i dati dal database preparati<\/a><\/noindex> sono scritte in Rust.<\/p>\n

Il metodo di verifica dei certificati ancora in uso che coinvolge servizi esterni basati sul protocollo OCSP<\/a><\/noindex> (Online Certificate Status Protocol) richiede un accesso di rete garantito, causa ritardi significativi nell'elaborazione della richiesta (in media 350 ms) e presenta problemi di riservatezza (i server OCSP che rispondono alle richieste ottengono informazioni sui certificati specifici, da cui si pu\u00f2 dedurre quali siti stia visitando l'utente). Esiste anche la possibilit\u00e0 di una verifica locale tramite liste CRL<\/a><\/noindex> (Certificate Revocation List), ma un punto negativo di questo metodo \u00e8 la grande dimensione dei dati scaricati \u2014 attualmente il database dei certificati revocati occupa circa 300 MB e continua a crescere.<\/p>\n

Per bloccare i certificati compromessi e revocati dai certificatori, Firefox utilizza dal 2015 un elenco nero centralizzato. OneCRL<\/a><\/noindex> insieme alla consultazione del servizio Google Safe Browsing<\/a><\/noindex> per determinare possibili attivit\u00e0 dannose. OneCRL, come CRLSets<\/a><\/noindex> in Chrome, funge da intermediario che aggrega le liste CRL dai certificatori e fornisce un servizio OCSP centralizzato per la verifica dei certificati revocati, permettendo di non inviare richieste direttamente ai certificatori. Nonostante il grande lavoro per migliorare l'affidabilit\u00e0 del servizio di verifica online dei certificati, i dati di telemetria mostrano che oltre il 7% delle richieste OCSP termina con un timeout (qualche anno fa questa percentuale era del 15%). <\/p>\n

Di default, se non \u00e8 possibile effettuare la verifica tramite OCSP, il browser considera il certificato corretto. Il servizio pu\u00f2 essere non disponibile sia per problemi di rete e limitazioni nelle reti interne, sia bloccato dagli aggressori \u2014 per bypassare la verifica OCSP durante un attacco MITM \u00e8 sufficiente semplicemente bloccare l'accesso al servizio di verifica. In parte per prevenire tali attacchi, \u00e8 stata implementata una tecnica Must-Staple<\/a><\/noindex>, che permette di interpretare l'errore di accesso a OCSP o l'inaccessibilit\u00e0 di OCSP come un problema con il certificato, ma questa possibilit\u00e0 \u00e8 facoltativa e richiede una configurazione speciale del certificato. <\/p>\n

CRLite consente di ridurre le informazioni complete su tutti i certificati revocati in una struttura facilmente aggiornabile, di dimensioni pari a solo 1 MB, il che consente di memorizzare un'intera base di dati CRL sul lato client.
\nIl browser potr\u00e0 sincronizzare quotidianamente la propria copia dei dati sui certificati revocati, e questo database sar\u00e0 accessibile in tutte le condizioni. <\/p>\n

CRLite raccoglie informazioni da Trasparenza del Certificato<\/a><\/noindex>, registro pubblico di tutti i certificati emessi e revocati, e dei risultati della scansione dei certificati su internet (vengono raccolti vari elenchi CRL dai centri di certificazione e aggregata l'informazione su tutti i certificati noti). I dati vengono confezionati utilizzando cascade filtri di Bloom<\/a><\/noindex>, una struttura probabilistica che ammette falsi positivi per elementi assenti, ma esclude la possibilit\u00e0 di perdere elementi esistenti (cio\u00e8 con una certa probabilit\u00e0 \u00e8 possibile avere un falso allerta su un certificato valido, ma i certificati revocati saranno garantiti come identificati). <\/p>\n

Per escludere falsi positivi in CRLite, sono stati introdotti ulteriori livelli correttivi di filtraggio. Dopo la generazione della struttura, vengono analizzati tutti i registri originali e si identificano i falsi positivi emersi. A seguito di questo controllo, viene creata una struttura aggiuntiva che si sovrappone in cascata alla prima e corregge i falsi positivi emersi. L'operazione viene ripetuta fino a quando i falsi positivi non vengono completamente esclusi durante il controllo. Di solito, per una copertura completa dei dati, \u00e8 sufficiente creare da 7 a 10 strati. Poich\u00e9 lo stato del database a causa della sincronizzazione periodica \u00e8 leggermente arretrato rispetto allo stato attuale del CRL, il controllo dei nuovi certificati emessi dopo l'ultimo aggiornamento del database CRLite viene effettuato tramite il protocollo OCSP, compreso l'uso della tecnica OCSP Stapling<\/a><\/noindex> (la risposta OCSP firmata dal certificatore viene trasmessa dal server che gestisce il sito durante la negoziazione della connessione TLS).<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

Grazie ai filtri di Bloom, \u00e8 stato possibile comprimere il campione di dicembre delle informazioni da WebPKI, che copre 100 milioni di certificati attivi e 750 mila certificati revocati, in una struttura di 1.3 MB. Il processo di generazione della struttura \u00e8 piuttosto dispendioso in termini di risorse, ma viene eseguito sul server di Mozilla e l'utente riceve un aggiornamento gi\u00e0 pronto. Ad esempio, i dati sorgente utilizzati per la generazione richiedono circa 16 GB di memoria quando memorizzati nel database Redis, mentre in forma esadecimale, il dump di tutti i numeri di serie dei certificati occupa circa 6.7 GB. Il processo di aggregazione di tutti i certificati revocati e attivi richiede circa 40 minuti, e il processo di generazione della struttura compressa basata sul filtro di Bloom richiede ulteriori 20 minuti.<\/p>\n

Attualmente, Mozilla garantisce l'aggiornamento del database CRLite quattro volte al giorno (non tutti gli aggiornamenti vengono consegnati ai client). La generazione di aggiornamenti delta non \u00e8 ancora stata implementata \u2014 l'uso di bsdiff4, utilizzato per creare aggiornamenti delta per le versioni, non offre l'efficienza necessaria per CRLite e gli aggiornamenti risultano ingiustificatamente grandi. Per eliminare questo difetto, si prevede di riprogettare il formato della struttura di archiviazione per escludere il ridondante ripristino e la rimozione degli strati.<\/p>\n

CRLite attualmente opera in Firefox in modalit\u00e0 passiva e viene utilizzato in parallelo con OCSP per accumulare statistiche sulla correttezza del funzionamento. CRLite pu\u00f2 essere portato in modalit\u00e0 di verifica principale; per farlo, in about:config \u00e8 necessario impostare il parametro security.pki.crlite_mode = 2.<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

Fonte: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox \u043d\u043e\u0432\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043e\u0442\u043e\u0437\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 — CRLite. CRLite \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043e\u0442\u0437\u044b\u0432\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u043c\u043e\u0439 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u0432 Mozilla \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f CRLite \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u043f\u043e\u0434 \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0439 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 MPL 2.0. \u041a\u043e\u0434 \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0411\u0414 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Python \u0438 Go. \u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55146","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla introduce CRLite per la verifica dei certificati TLS problematici | ProHoster","description":"Mozilla ha annunciato l'inizio dei test nelle versioni notturne di Firefox.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 CRLite \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043d\u044b\u0445 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox.","og:url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-12T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55146","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:50:02","updated":"2022-10-10 06:24:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55146","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=55146"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55146\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=55146"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=55146"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=55146"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}