ការត្រួតពិនិត្យ DPI (SSL) ប្រឆាំងនឹងគ្រាប់ធញ្ញជាតិនៃការគ្រីបគ្រីប ប៉ុន្តែក្រុមហ៊ុនកំពុងអនុវត្តវា។

ខ្សែសង្វាក់នៃការជឿទុកចិត្ត។ CC BY-SA 4.0 យ៉ាន់ប៉ាស

ការត្រួតពិនិត្យចរាចរណ៍ SSL (ការឌិគ្រីប SSL/TLS ការវិភាគ SSL ឬ DPI) កំពុងក្លាយជាប្រធានបទដ៏ក្តៅគគុកនៃការពិភាក្សានៅក្នុងវិស័យសាជីវកម្ម។ គំនិតនៃការឌិគ្រីបចរាចរណ៍ហាក់ដូចជាផ្ទុយនឹងគំនិតនៃការគ្រីប។ ទោះជាយ៉ាងណាក៏ដោយ ការពិតគឺជាការពិត៖ ក្រុមហ៊ុនកាន់តែច្រើនឡើងកំពុងប្រើប្រាស់បច្ចេកវិទ្យា DPI ដោយពន្យល់ពីបញ្ហានេះដោយតម្រូវការក្នុងការត្រួតពិនិត្យខ្លឹមសារសម្រាប់មេរោគ ការលេចធ្លាយទិន្នន័យជាដើម។

ជាការប្រសើរណាស់ ប្រសិនបើយើងទទួលយកការពិតដែលថាបច្ចេកវិទ្យាបែបនេះត្រូវតែអនុវត្ត នោះយ៉ាងហោចណាស់យើងគួរតែពិចារណាវិធីធ្វើវាតាមរបៀបដែលមានសុវត្ថិភាពបំផុត និងគ្រប់គ្រងបានល្អបំផុត។ យ៉ាងហោចណាស់កុំពឹងផ្អែកលើវិញ្ញាបនបត្រទាំងនោះ ជាឧទាហរណ៍ ដែលអ្នកផ្គត់ផ្គង់ប្រព័ន្ធ DPI ផ្តល់ឱ្យអ្នក។

មានទិដ្ឋភាពមួយនៃការអនុវត្តដែលមិនមែនគ្រប់គ្នាដឹងអំពី។ ជាក់ស្តែង មនុស្សជាច្រើនពិតជាភ្ញាក់ផ្អើលនៅពេលដែលពួកគេបានឮអំពីវា។ នេះគឺជាអាជ្ញាធរវិញ្ញាបនប័ត្រឯកជន (CA)។ វាបង្កើតវិញ្ញាបនបត្រដើម្បីឌិគ្រីប និងអ៊ិនគ្រីបចរាចរណ៍ឡើងវិញ។

ជំនួសឱ្យការពឹងផ្អែកលើវិញ្ញាបនបត្រដែលចុះហត្ថលេខាដោយខ្លួនឯង ឬវិញ្ញាបនបត្រពីឧបករណ៍ DPI អ្នកអាចប្រើ CA ដែលបានខិតខំប្រឹងប្រែងពីអាជ្ញាធរវិញ្ញាបនបត្រភាគីទីបីដូចជា GlobalSign ជាដើម។ ប៉ុន្តែជាដំបូង ចូរយើងធ្វើទិដ្ឋភាពទូទៅបន្តិចនៃបញ្ហាដោយខ្លួនឯង។

តើ​អ្វី​ទៅ​ជា​ការ​ត្រួត​ពិនិត្យ SSL ហើយ​ហេតុ​អ្វី​បាន​ជា​វា​ត្រូវ​បាន​ប្រើ?

គេហទំព័រសាធារណៈកាន់តែច្រើនកំពុងផ្លាស់ទីទៅ HTTPS ។ ឧទាហរណ៍យោងទៅតាម ស្ថិតិ Chromeនៅដើមខែកញ្ញាឆ្នាំ 2019 ចំណែកនៃចរាចរណ៍ដែលបានអ៊ិនគ្រីបនៅក្នុងប្រទេសរុស្ស៊ីបានឈានដល់ 83% ។

ជាអកុសល ការអ៊ិនគ្រីបចរាចរណ៍ត្រូវបានប្រើប្រាស់កាន់តែខ្លាំងឡើងដោយអ្នកវាយប្រហារ ជាពិសេសចាប់តាំងពី Let's Encrypt ចែកចាយវិញ្ញាបនបត្រ SSL ឥតគិតថ្លៃរាប់ពាន់សន្លឹកក្នុងលក្ខណៈស្វ័យប្រវត្តិ។ ដូច្នេះ HTTPS ត្រូវបានប្រើនៅគ្រប់ទីកន្លែង - ហើយសោនៅក្នុងរបារអាសយដ្ឋានកម្មវិធីរុករកបានឈប់ធ្វើជាសូចនាករសុវត្ថិភាពដែលអាចទុកចិត្តបាន។

អ្នកផលិតដំណោះស្រាយ DPI ផ្សព្វផ្សាយផលិតផលរបស់ពួកគេពីមុខតំណែងទាំងនេះ។ ពួកវាត្រូវបានបង្កប់រវាងអ្នកប្រើប្រាស់ចុងក្រោយ (ពោលគឺបុគ្គលិករបស់អ្នកដែលកំពុងរុករកគេហទំព័រ) និងអ៊ីនធឺណិត ដោយត្រងចេញនូវចរាចរណ៍ដែលមានគំនិតអាក្រក់។ មានផលិតផលបែបនេះមួយចំនួននៅលើទីផ្សារសព្វថ្ងៃនេះ ប៉ុន្តែដំណើរការគឺដូចគ្នាបេះបិទ។ ចរាចរណ៍ HTTPS ឆ្លងកាត់ឧបករណ៍ត្រួតពិនិត្យ ដែលវាត្រូវបានឌិគ្រីប និងពិនិត្យរកមេរោគ។

នៅពេលដែលការផ្ទៀងផ្ទាត់ត្រូវបានបញ្ចប់ ឧបករណ៍នឹងបង្កើតវគ្គ SSL ថ្មីជាមួយកម្មវិធីចុងក្រោយ ដើម្បីឌិគ្រីប និងអ៊ិនគ្រីបមាតិកាឡើងវិញ។

របៀបដែលដំណើរការឌិគ្រីប/ការអ៊ិនគ្រីបឡើងវិញដំណើរការ

ដើម្បីឱ្យឧបករណ៍ត្រួតពិនិត្យ SSL ឌិគ្រីប និងអ៊ិនគ្រីបកញ្ចប់ព័ត៌មានឡើងវិញ មុនពេលបញ្ជូនពួកវាទៅអ្នកប្រើប្រាស់ចុងក្រោយ វាត្រូវតែអាចចេញវិញ្ញាបនបត្រ SSL ភ្លាមៗ។ នេះមានន័យថាវាត្រូវតែមានវិញ្ញាបនបត្រ CA ដែលបានដំឡើង។

វាមានសារៈសំខាន់សម្រាប់ក្រុមហ៊ុន (ឬអ្នកណាក៏ដោយនៅកណ្តាល) ដែលវិញ្ញាបនបត្រ SSL ទាំងនេះត្រូវបានជឿទុកចិត្តដោយកម្មវិធីរុករក (ឧ. កុំបង្កើតសារព្រមានដែលគួរឱ្យខ្លាចដូចអត្ថបទខាងក្រោម)។ ដូច្នេះខ្សែសង្វាក់ CA (ឬឋានានុក្រម) ត្រូវតែស្ថិតនៅក្នុងហាងជឿទុកចិត្តរបស់កម្មវិធីរុករក។ ដោយសារតែវិញ្ញាបនបត្រទាំងនេះមិនត្រូវបានចេញឱ្យពីអាជ្ញាធរវិញ្ញាបនបត្រដែលអាចទុកចិត្តបានជាសាធារណៈ អ្នកត្រូវតែចែកចាយឋានានុក្រម CA ដោយដៃដល់អតិថិជនចុងក្រោយទាំងអស់។

សារព្រមានសម្រាប់វិញ្ញាបនបត្រដែលបានចុះហត្ថលេខាដោយខ្លួនឯងនៅក្នុង Chrome ។ ប្រភព៖ BadSSL.com

នៅលើកុំព្យូទ័រ Windows អ្នកអាចប្រើ Active Directory និង Group Policies ប៉ុន្តែសម្រាប់ឧបករណ៍ចល័ត នីតិវិធីគឺស្មុគស្មាញជាង។

ស្ថានភាពកាន់តែស្មុគស្មាញ ប្រសិនបើអ្នកត្រូវការគាំទ្រវិញ្ញាបនបត្រ root ផ្សេងទៀតនៅក្នុងបរិយាកាសសាជីវកម្ម ឧទាហរណ៍ពី Microsoft ឬផ្អែកលើ OpenSSL ។ បូករួមទាំងការការពារ និងការគ្រប់គ្រងសោឯកជន ដើម្បីកុំឱ្យសោណាមួយផុតកំណត់ដោយមិនបានរំពឹងទុក។

ជម្រើសល្អបំផុត៖ ឯកជន វិញ្ញាបនបត្រឫសគល់ដែលខិតខំប្រឹងប្រែងពីភាគីទីបី CA

ប្រសិនបើការគ្រប់គ្រងឫសច្រើន ឬវិញ្ញាបនបត្រដែលចុះហត្ថលេខាដោយខ្លួនឯងមិនទាក់ទាញនោះ មានជម្រើសមួយផ្សេងទៀត៖ ពឹងផ្អែកលើ CA ភាគីទីបី។ ក្នុងករណីនេះវិញ្ញាបនបត្រត្រូវបានចេញមកពី ឯកជន CA ដែលត្រូវបានភ្ជាប់នៅក្នុងខ្សែសង្វាក់នៃការជឿទុកចិត្តទៅនឹង CA ឫសគល់ឯកជនដែលត្រូវបានបង្កើតឡើងជាពិសេសសម្រាប់ក្រុមហ៊ុន។

ស្ថាបត្យកម្មសាមញ្ញសម្រាប់វិញ្ញាបនបត្រឫសគល់របស់អតិថិជនដែលខិតខំប្រឹងប្រែង

ការរៀបចំនេះលុបបំបាត់បញ្ហាមួយចំនួនដែលបានរៀបរាប់ពីមុន៖ យ៉ាងហោចណាស់វាកាត់បន្ថយចំនួនឫសដែលត្រូវគ្រប់គ្រង។ នៅទីនេះអ្នកអាចប្រើសិទ្ធិជា root ឯកជនមួយសម្រាប់តម្រូវការ PKI ខាងក្នុងទាំងអស់ ជាមួយនឹងចំនួន CAs កម្រិតមធ្យមណាមួយ។ ឧទាហរណ៍ ដ្យាក្រាមខាងលើបង្ហាញពីឋានានុក្រមពហុកម្រិត ដែល CA កម្រិតមធ្យមមួយត្រូវបានប្រើសម្រាប់ការផ្ទៀងផ្ទាត់/ឌិគ្រីប SSL និងមួយទៀតត្រូវបានប្រើសម្រាប់កុំព្យូទ័រខាងក្នុង (កុំព្យូទ័រយួរដៃ ម៉ាស៊ីនមេ កុំព្យូទ័រលើតុ។ល។)។

នៅក្នុងការរចនានេះ មិនចាំបាច់រៀបចំ CA លើអតិថិជនទាំងអស់នោះទេ ព្រោះ CA កម្រិតកំពូលត្រូវបានបង្ហោះដោយ GlobalSign ដែលដោះស្រាយបញ្ហាការការពារសោឯកជន និងការផុតកំណត់។

អត្ថប្រយោជន៍មួយទៀតនៃវិធីសាស្រ្តនេះគឺសមត្ថភាពក្នុងការដកហូតសិទ្ធិត្រួតពិនិត្យ SSL សម្រាប់ហេតុផលណាមួយ។ ផ្ទុយទៅវិញ ថ្មីមួយត្រូវបានបង្កើតឡើងយ៉ាងសាមញ្ញ ដែលត្រូវបានចងភ្ជាប់ទៅនឹងឫសឯកជនដើមរបស់អ្នក ហើយអ្នកអាចប្រើវាបានភ្លាមៗ។

ទោះបីជាមានភាពចម្រូងចម្រាសទាំងអស់ក៏ដោយ សហគ្រាសកំពុងអនុវត្តការត្រួតពិនិត្យចរាចរណ៍ SSL កាន់តែខ្លាំងឡើង ដែលជាផ្នែកមួយនៃហេដ្ឋារចនាសម្ព័ន្ធ PKI ខាងក្នុង ឬឯកជនរបស់ពួកគេ។ ការប្រើប្រាស់ផ្សេងទៀតសម្រាប់ PKI ឯកជនរួមមានការចេញវិញ្ញាបនបត្រសម្រាប់ឧបករណ៍ ឬការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ SSL សម្រាប់ម៉ាស៊ីនមេខាងក្នុង និងការកំណត់រចនាសម្ព័ន្ធផ្សេងៗដែលមិនត្រូវបានអនុញ្ញាតក្នុងវិញ្ញាបនបត្រដែលអាចទុកចិត្តបានតាមតម្រូវការដោយវេទិកា CA/Browser។

កម្មវិធីរុករកកំពុងវាយលុក

វាគួរតែត្រូវបានកត់សម្គាល់ថាអ្នកអភិវឌ្ឍន៍កម្មវិធីរុករកកំពុងព្យាយាមប្រឆាំងនឹងនិន្នាការនេះ និងការពារអ្នកប្រើប្រាស់ចុងក្រោយពី MiTM ។ ឧទាហរណ៍ពីរបីថ្ងៃមុន Mozilla បានធ្វើការសម្រេចចិត្ត បើកដំណើរការពិធីការ DoH (DNS-over-HTTPS) តាមលំនាំដើមនៅក្នុងកំណែកម្មវិធីរុករកតាមអ៊ីនធឺណិតមួយក្នុងចំណោមកំណែបន្ទាប់នៅក្នុង Firefox ។ ពិធីការ DoH លាក់សំណួរ DNS ពីប្រព័ន្ធ DPI ដែលធ្វើឱ្យការត្រួតពិនិត្យ SSL ពិបាក។

អំពីផែនការស្រដៀងគ្នាថ្ងៃទី 10 ខែកញ្ញា ឆ្នាំ 2019 បានប្រកាស Google សម្រាប់កម្មវិធីរុករកតាមអ៊ីនធឺណិត Chrome ។

មានតែអ្នកប្រើប្រាស់ដែលបានចុះឈ្មោះប៉ុណ្ណោះដែលអាចចូលរួមក្នុងការស្ទង់មតិនេះ។ ចូលសូម។

តើ​អ្នក​គិត​ថា​ក្រុមហ៊ុន​មាន​សិទ្ធិ​ក្នុង​ការ​ត្រួត​ពិនិត្យ​ចរាចរណ៍ SSL របស់​បុគ្គលិក​របស់​ខ្លួន​ឬ​ទេ?

• បាទ ដោយមានការយល់ព្រមពីពួកគេ។

• ទេ ការសុំការយល់ព្រមបែបនេះគឺខុសច្បាប់ និង/ឬគ្មានសីលធម៌

អ្នកប្រើប្រាស់ 122 នាក់បានបោះឆ្នោត។ អ្នកប្រើប្រាស់ ៧៨ នាក់ត្រូវបានហាមឃាត់។

ប្រភព: www.habr.com