DPI (ການກວດກາ SSL) ກົງກັນຂ້າມກັບເມັດເຂົ້າລະຫັດລັບ, ແຕ່ບໍລິສັດກໍາລັງປະຕິບັດມັນ

ຕ່ອງໂສ້ຄວາມໄວ້ວາງໃຈ. CC BY-SA 4.0 Yanpas

ການກວດສອບການຈະລາຈອນ SSL (ການຖອດລະຫັດ SSL/TLS, ການວິເຄາະ SSL ຫຼື DPI) ກໍາລັງກາຍເປັນຫົວຂໍ້ສົນທະນາທີ່ຮ້ອນຂຶ້ນໃນຂະແຫນງການບໍລິສັດ. ແນວຄວາມຄິດຂອງການຖອດລະຫັດການຈາລະຈອນເບິ່ງຄືວ່າກົງກັນຂ້າມກັບແນວຄວາມຄິດຂອງ cryptography ຫຼາຍ. ຢ່າງໃດກໍ່ຕາມ, ຄວາມຈິງແມ່ນຄວາມຈິງ: ບໍລິສັດຫຼາຍກວ່າແລະຫຼາຍກໍາລັງໃຊ້ເຕັກໂນໂລຢີ DPI, ອະທິບາຍນີ້ໂດຍຄວາມຕ້ອງການໃນການກວດສອບເນື້ອຫາສໍາລັບ malware, ຂໍ້ມູນຮົ່ວໄຫຼ, ແລະອື່ນໆ.

ດີ, ຖ້າພວກເຮົາຍອມຮັບຄວາມຈິງທີ່ວ່າເຕັກໂນໂລຢີດັ່ງກ່າວຕ້ອງໄດ້ຮັບການປະຕິບັດ, ຢ່າງຫນ້ອຍພວກເຮົາຄວນພິຈາລະນາວິທີການເຮັດມັນໃນທາງທີ່ປອດໄພແລະການຄຸ້ມຄອງທີ່ດີທີ່ສຸດທີ່ເປັນໄປໄດ້. ຢ່າງຫນ້ອຍຢ່າອີງໃສ່ໃບຢັ້ງຢືນເຫຼົ່ານັ້ນ, ຕົວຢ່າງ, ທີ່ຜູ້ສະຫນອງລະບົບ DPI ໃຫ້ທ່ານ.

ມີລັກສະນະຫນຶ່ງຂອງການປະຕິບັດທີ່ທຸກຄົນບໍ່ຮູ້ກ່ຽວກັບ. ແທ້ຈິງແລ້ວ, ຫຼາຍຄົນປະຫລາດໃຈແທ້ໆເມື່ອໄດ້ຍິນກ່ຽວກັບມັນ. ນີ້ແມ່ນອົງການຢັ້ງຢືນເອກະຊົນ (CA). ມັນສ້າງໃບຢັ້ງຢືນເພື່ອຖອດລະຫັດ ແລະເຂົ້າລະຫັດການຈາລະຈອນຄືນໃໝ່.

ແທນທີ່ຈະອີງໃສ່ໃບຢັ້ງຢືນທີ່ເຊັນດ້ວຍຕົນເອງຫຼືໃບຢັ້ງຢືນຈາກອຸປະກອນ DPI, ທ່ານສາມາດນໍາໃຊ້ CA ທີ່ອຸທິດຕົນຈາກເຈົ້າຫນ້າທີ່ໃບຢັ້ງຢືນພາກສ່ວນທີສາມເຊັ່ນ GlobalSign. ແຕ່ທໍາອິດ, ໃຫ້ເຮົາເຮັດພາບລວມເລັກນ້ອຍຂອງບັນຫາຕົວມັນເອງ.

ການກວດສອບ SSL ແມ່ນຫຍັງແລະເປັນຫຍັງມັນຈຶ່ງຖືກນໍາໃຊ້?

ເວັບໄຊທ໌ສາທາລະນະຫຼາຍຂຶ້ນກໍາລັງຍ້າຍໄປ HTTPS. ຕົວຢ່າງ, ອີງຕາມ ສະຖິຕິ Chrome, ໃນຕົ້ນເດືອນກັນຍາ 2019, ສ່ວນແບ່ງຂອງການຈະລາຈອນທີ່ຖືກເຂົ້າລະຫັດໃນລັດເຊຍບັນລຸ 83%.

ແຕ່ຫນ້າເສຍດາຍ, ການເຂົ້າລະຫັດການຈະລາຈອນແມ່ນຖືກນໍາໃຊ້ໂດຍຜູ້ໂຈມຕີ, ໂດຍສະເພາະນັບຕັ້ງແຕ່ Let's Encrypt ແຈກຢາຍໃບຢັ້ງຢືນ SSL ຟຣີຫຼາຍພັນໃບໃນລັກສະນະອັດຕະໂນມັດ. ດັ່ງນັ້ນ, HTTPS ຖືກນໍາໃຊ້ຢູ່ທົ່ວທຸກແຫ່ງ - ແລະ padlock ໃນແຖບທີ່ຢູ່ຂອງຕົວທ່ອງເວັບໄດ້ຢຸດໃຫ້ບໍລິການເປັນຕົວຊີ້ວັດຄວາມປອດໄພທີ່ເຊື່ອຖືໄດ້.

ຜູ້ຜະລິດໂຊລູຊັ່ນ DPI ສົ່ງເສີມຜະລິດຕະພັນຂອງພວກເຂົາຈາກຕໍາແຫນ່ງເຫຼົ່ານີ້. ພວກມັນຖືກຝັງຢູ່ລະຫວ່າງຜູ້ໃຊ້ສຸດທ້າຍ (ເຊັ່ນ: ພະນັກງານຂອງທ່ານທ່ອງເວັບ) ແລະອິນເຕີເນັດ, ການກັ່ນຕອງການຈະລາຈອນທີ່ເປັນອັນຕະລາຍ. ມີຈໍານວນຂອງຜະລິດຕະພັນດັ່ງກ່າວຢູ່ໃນຕະຫຼາດໃນມື້ນີ້, ແຕ່ຂະບວນການແມ່ນສໍາຄັນຄືກັນ. ການຈະລາຈອນ HTTPS ຜ່ານອຸປະກອນກວດກາບ່ອນທີ່ມັນຖືກຖອດລະຫັດແລະກວດສອບ malware.

ເມື່ອການຢັ້ງຢືນສໍາເລັດແລ້ວ, ອຸປະກອນຈະສ້າງເຊດຊັນ SSL ໃໝ່ໃຫ້ກັບລູກຄ້າສຸດທ້າຍເພື່ອຖອດລະຫັດ ແລະເຂົ້າລະຫັດເນື້ອຫາຄືນໃໝ່.

ຂະບວນການຖອດລະຫັດ/ການເຂົ້າລະຫັດຄືນໃໝ່ເຮັດວຽກແນວໃດ

ເພື່ອໃຫ້ເຄື່ອງກວດກາ SSL ຖອດລະຫັດ ແລະເຂົ້າລະຫັດແພັກເກັດຄືນໃໝ່ ກ່ອນທີ່ຈະສົ່ງໃຫ້ຜູ້ໃຊ້ສຸດທ້າຍ, ມັນຕ້ອງສາມາດອອກໃບຢັ້ງຢືນ SSL ໄດ້ທັນທີ. ນີ້ຫມາຍຄວາມວ່າມັນຕ້ອງມີໃບຢັ້ງຢືນ CA ຕິດຕັ້ງ.

ມັນເປັນສິ່ງສໍາຄັນສໍາລັບບໍລິສັດ (ຫຼືໃຜກໍຕາມທີ່ຢູ່ໃນກາງ) ທີ່ໃບຢັ້ງຢືນ SSL ເຫຼົ່ານີ້ໄດ້ຮັບຄວາມໄວ້ວາງໃຈຈາກຕົວທ່ອງເວັບ (ເຊັ່ນ: ບໍ່ໃຫ້ສົ່ງຂໍ້ຄວາມເຕືອນໄພທີ່ຫນ້າຢ້ານກົວເຊັ່ນຫນຶ່ງຂ້າງລຸ່ມນີ້). ດັ່ງນັ້ນລະບົບຕ່ອງໂສ້ CA (ຫຼືລໍາດັບຊັ້ນ) ຈະຕ້ອງຢູ່ໃນຮ້ານທີ່ເຊື່ອຖືໄດ້ຂອງຕົວທ່ອງເວັບ. ເນື່ອງຈາກວ່າໃບຢັ້ງຢືນເຫຼົ່ານີ້ບໍ່ໄດ້ອອກໃຫ້ຈາກອົງການໃບຢັ້ງຢືນທີ່ເຊື່ອຖືໄດ້ສາທາລະນະ, ທ່ານຕ້ອງແຈກຢາຍລໍາດັບຊັ້ນຂອງ CA ດ້ວຍຕົນເອງໃຫ້ກັບລູກຄ້າສຸດທ້າຍທັງຫມົດ.

ຂໍ້ຄວາມເຕືອນສໍາລັບໃບຢັ້ງຢືນການເຊັນດ້ວຍຕົນເອງໃນ Chrome. ທີ່ມາ: BadSSL.com

ໃນຄອມພິວເຕີ Windows, ທ່ານສາມາດນໍາໃຊ້ Active Directory ແລະ Group Policy, ແຕ່ສໍາລັບອຸປະກອນມືຖື, ຂັ້ນຕອນແມ່ນສັບສົນຫຼາຍ.

ສະຖານະການຈະກາຍເປັນຄວາມສັບສົນຫຼາຍຖ້າທ່ານຕ້ອງການສະຫນັບສະຫນູນໃບຢັ້ງຢືນຮາກອື່ນໆໃນສະພາບແວດລ້ອມຂອງບໍລິສັດ, ຕົວຢ່າງ, ຈາກ Microsoft, ຫຼືອີງໃສ່ OpenSSL. ບວກ​ກັບ​ການ​ປົກ​ປັກ​ຮັກ​ສາ​ແລະ​ການ​ຄຸ້ມ​ຄອງ​ຂອງ​ກະ​ແຈ​ສ່ວນ​ຕົວ​ເພື່ອ​ໃຫ້​ກະ​ແຈ​ໃດ​ຫນຶ່ງ​ບໍ່​ຫມົດ​ອາ​ຍຸ​ໂດຍ​ບໍ່​ຄາດ​ຄິດ​.

ທາງເລືອກທີ່ດີທີ່ສຸດ: ເອກະຊົນ, ໃບຢັ້ງຢືນຮາກທີ່ອຸທິດຕົນຈາກ CA ພາກສ່ວນທີສາມ

ຖ້າການຈັດການຫຼາຍຮາກຫຼືໃບຢັ້ງຢືນການເຊັນດ້ວຍຕົນເອງແມ່ນບໍ່ຫນ້າສົນໃຈ, ມີທາງເລືອກອື່ນ: ອີງໃສ່ CA ພາກສ່ວນທີສາມ. ໃນກໍລະນີນີ້, ໃບຢັ້ງຢືນແມ່ນອອກມາຈາກ ສ່ວນຕົວ CA ທີ່ຖືກເຊື່ອມຕໍ່ຢູ່ໃນລະບົບຕ່ອງໂສ້ຄວາມໄວ້ວາງໃຈກັບ CA ຮາກສ່ວນຕົວທີ່ອຸທິດຕົນ, ສ້າງໂດຍສະເພາະສໍາລັບບໍລິສັດ.

ສະຖາປັດຕະຍະກໍາແບບງ່າຍດາຍສໍາລັບໃບຢັ້ງຢືນຮາກລູກຄ້າທີ່ອຸທິດຕົນ

ການຕິດຕັ້ງນີ້ກໍາຈັດບາງບັນຫາທີ່ໄດ້ກ່າວມາກ່ອນຫນ້ານີ້: ຢ່າງຫນ້ອຍມັນຫຼຸດລົງຈໍານວນຂອງຮາກທີ່ຕ້ອງໄດ້ຮັບການຄຸ້ມຄອງ. ໃນທີ່ນີ້ທ່ານສາມາດນໍາໃຊ້ພຽງແຕ່ຫນຶ່ງອໍານາດຮາກເອກະຊົນສໍາລັບຄວາມຕ້ອງການ PKI ພາຍໃນທັງຫມົດ, ມີຈໍານວນຂອງ CAs ລະດັບປານກາງ. ຕົວຢ່າງເຊັ່ນ, ແຜນວາດຂ້າງເທິງສະແດງໃຫ້ເຫັນລໍາດັບຊັ້ນຫຼາຍລະດັບທີ່ຫນຶ່ງຂອງ CAs ລະດັບກາງຖືກນໍາໃຊ້ສໍາລັບການຢັ້ງຢືນ / ຖອດລະຫັດ SSL ແລະອີກອັນຫນຶ່ງແມ່ນໃຊ້ສໍາລັບຄອມພິວເຕີພາຍໃນ (ແລັບທັອບ, ເຊີບເວີ, ເດັສທັອບ, ແລະອື່ນໆ).

ໃນການອອກແບບນີ້, ບໍ່ຈໍາເປັນຕ້ອງເປັນເຈົ້າພາບ CA ໃນລູກຄ້າທັງຫມົດເພາະວ່າ CA ລະດັບສູງສຸດແມ່ນເປັນເຈົ້າພາບໂດຍ GlobalSign, ເຊິ່ງແກ້ໄຂບັນຫາການປົກປ້ອງກະແຈສ່ວນຕົວແລະການຫມົດອາຍຸ.

ປະໂຫຍດອີກອັນຫນຶ່ງຂອງວິທີການນີ້ແມ່ນຄວາມສາມາດໃນການຖອນອໍານາດການກວດກາ SSL ສໍາລັບເຫດຜົນໃດກໍ່ຕາມ. ແທນທີ່ຈະ, ຮູບແບບໃຫມ່ຖືກສ້າງຂື້ນຢ່າງງ່າຍດາຍ, ເຊິ່ງຖືກຜູກມັດກັບຮາກສ່ວນຕົວຕົ້ນສະບັບຂອງເຈົ້າ, ແລະທ່ານສາມາດນໍາໃຊ້ມັນໄດ້ທັນທີ.

ເຖິງວ່າຈະມີການຂັດແຍ້ງທັງຫມົດ, ວິສາຫະກິດກໍາລັງປະຕິບັດການກວດກາການຈະລາຈອນ SSL ຫຼາຍຂຶ້ນເປັນສ່ວນຫນຶ່ງຂອງໂຄງສ້າງພື້ນຖານ PKI ພາຍໃນຫຼືເອກະຊົນຂອງພວກເຂົາ. ການນໍາໃຊ້ອື່ນໆສໍາລັບ PKI ສ່ວນຕົວລວມມີການອອກໃບຢັ້ງຢືນສໍາລັບອຸປະກອນຫຼືການກວດສອບຜູ້ໃຊ້, SSL ສໍາລັບເຄື່ອງແມ່ຂ່າຍພາຍໃນ, ແລະການຕັ້ງຄ່າຕ່າງໆທີ່ບໍ່ອະນຸຍາດໃຫ້ຢູ່ໃນໃບຢັ້ງຢືນທີ່ເຊື່ອຖືໄດ້ຕາມຄວາມຕ້ອງການຂອງ CA/Browser Forum.

ຕົວທ່ອງເວັບກໍາລັງຕໍ່ສູ້ກັບຄືນ

ມັນຄວນຈະສັງເກດວ່ານັກພັດທະນາຕົວທ່ອງເວັບກໍາລັງພະຍາຍາມຕ້ານກັບແນວໂນ້ມນີ້ແລະປົກປ້ອງຜູ້ໃຊ້ສຸດທ້າຍຈາກ MiTM. ຕົວຢ່າງ, ສອງສາມມື້ກ່ອນຫນ້ານີ້ Mozilla ໄດ້ຕັດສິນໃຈ ເປີດໃຊ້ໂປໂຕຄອນ DoH (DNS-over-HTTPS) ໂດຍຄ່າເລີ່ມຕົ້ນໃນໜຶ່ງໃນບຣາວເຊີລຸ້ນຕໍ່ໄປໃນ Firefox. ໂປໂຕຄອນ DoH ເຊື່ອງການສອບຖາມ DNS ຈາກລະບົບ DPI, ເຮັດໃຫ້ການກວດສອບ SSL ມີຄວາມຫຍຸ້ງຍາກ.

ກ່ຽວກັບແຜນການທີ່ຄ້າຍຄືກັນໃນວັນທີ 10 ກັນຍາ 2019 ປະ​ກາດ Google ສໍາລັບຕົວທ່ອງເວັບຂອງ Chrome.

ພຽງແຕ່ຜູ້ໃຊ້ລົງທະບຽນສາມາດເຂົ້າຮ່ວມໃນການສໍາຫຼວດ. ເຂົ້າ​ສູ່​ລະ​ບົບກະລຸນາ.

ທ່ານຄິດວ່າບໍລິສັດມີສິດທີ່ຈະກວດສອບການຈະລາຈອນ SSL ຂອງພະນັກງານບໍ?

• ແມ່ນແລ້ວ, ດ້ວຍຄວາມຍິນຍອມຂອງພວກເຂົາ

• ບໍ່, ການຂໍຄວາມຍິນຍອມດັ່ງກ່າວແມ່ນຜິດກົດໝາຍ ແລະ/ຫຼືບໍ່ມີຈັນຍາບັນ

ຜູ້ໃຊ້ 122 ຄົນລົງຄະແນນສຽງ. 15 ຜູ້ໃຊ້ງົດ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com