DPI (SSL инспекција) оди против зрното на криптографијата, но компаниите ја спроведуваат

Синџир на доверба. CC BY-SA 4.0 Јанпас

SSL сообраќајната инспекција (SSL/TLS дешифрирање, SSL или DPI анализа) станува сè пожешка тема на дискусија во корпоративниот сектор. Се чини дека идејата за дешифрирање на сообраќајот е во спротивност со самиот концепт на криптографијата. Сепак, факт е факт: се повеќе компании користат DPI технологии, објаснувајќи го тоа со потребата да се провери содржината за малициозен софтвер, протекување податоци итн.

Па, ако го прифатиме фактот дека таквата технологија треба да се имплементира, тогаш барем треба да разгледаме начини да го направиме тоа на најбезбеден и најдобро управуван можен начин. Барем не се потпирајте на тие сертификати, на пример, што ви ги дава добавувачот на системот DPI.

Постои еден аспект на имплементацијата за кој не секој знае. Всушност, многу луѓе се навистина изненадени кога ќе слушнат за тоа. Ова е приватен орган за сертификација (CA). Тој генерира сертификати за дешифрирање и рекрипција на сообраќајот.

Наместо да се потпирате на самопотпишани сертификати или сертификати од DPI уреди, можете да користите посветен CA од трета страна за сертификати, како што е GlobalSign. Но, прво, да направиме мал преглед на самиот проблем.

Што е SSL инспекција и зошто се користи?

Сè повеќе јавни веб-локации се префрлаат на HTTPS. На пример, според Статистика на Chrome, на почетокот на септември 2019 година, уделот на шифриран сообраќај во Русија достигна 83%.

За жал, шифрирањето на сообраќајот се повеќе се користи од напаѓачите, особено затоа што Let's Encrypt дистрибуира илјадници бесплатни SSL сертификати на автоматизиран начин. Така, HTTPS се користи насекаде - и катанецот во лентата за адреси на прелистувачот престана да служи како сигурен показател за безбедност.

Производителите на решенија за DPI ги промовираат своите производи од овие позиции. Тие се вградени помеѓу крајните корисници (т.е. вашите вработени кои прелистуваат на веб) и интернетот, филтрирање на малициозниот сообраќај. Денес на пазарот има голем број такви производи, но процесите во суштина се исти. Сообраќајот HTTPS поминува низ уред за проверка каде што е дешифриран и проверен за малициозен софтвер.

Откако ќе заврши проверката, уредот создава нова SSL сесија со крајниот клиент за да ја дешифрира и решифрира содржината.

Како функционира процесот на дешифрирање/повторно шифрирање

За да може SSL апаратот за инспекција да ги дешифрира и повторно шифрира пакетите пред да ги испрати до крајните корисници, мора да може да издава SSL сертификати веднаш. Ова значи дека мора да има инсталирано CA сертификат.

Важно е за компанијата (или кој и да е во средината) прелистувачите да им веруваат на овие SSL сертификати (т.е., да не активираат застрашувачки предупредувачки пораки како оваа подолу). Затоа, синџирот CA (или хиерархијата) мора да биде во продавницата за доверба на прелистувачот. Бидејќи овие сертификати не се издаваат од јавно доверливи авторитети за сертификати, мора рачно да ја дистрибуирате хиерархијата на CA до сите крајни клиенти.

Предупредувачка порака за самопотпишан сертификат во Chrome. Извор: BadSSL.com

На компьютерах с Windows можно задействовать Active Directory и групповые политики, но для мобильных устройств процедура сложнее.

Ситуацијата станува уште покомплицирана ако треба да поддржувате други root сертификати во корпоративна средина, на пример, од Microsoft или базирани на OpenSSL. Плус заштита и управување со приватните клучеви, така што некој од клучевите не истекува неочекувано.

Најдобра опција: приватен, посветен root сертификат од трета страна CA

Ако управувањето со повеќе корени или самопотпишани сертификати не е привлечно, постои друга опција: потпирање на CA од трета страна. Во овој случај, сертификатите се издаваат од приватен CA што е поврзана во синџир на доверба со посветен, приватен корен CA создаден специјално за компанијата.

Поедноставена архитектура за посветени коренски сертификати на клиенти

Ова поставување елиминира некои од проблемите споменати претходно: барем го намалува бројот на корени што треба да се управуваат. Овде можете да користите само еден приватен корен авторитет за сите внатрешни потреби на PKI, со кој било број на средни CA. На пример, горниот дијаграм покажува хиерархија на повеќе нивоа каде што еден од средните CA се користи за SSL-верификација/декрипција, а другиот се користи за внатрешни компјутери (лаптопи, сервери, десктоп компјутери итн.).

Во овој дизајн, нема потреба да се хостира CA на сите клиенти бидејќи CA од највисоко ниво е хостирана од GlobalSign, кој ги решава проблемите со заштитата на приватниот клуч и истекувањето.

Друга предност на овој пристап е можноста да се отповика органот за инспекција на SSL поради која било причина. Наместо тоа, едноставно се креира нов, кој е врзан за вашиот оригинален приватен корен и можете веднаш да го користите.

И покрај сите контроверзии, претпријатијата сè повеќе спроведуваат SSL сообраќајна инспекција како дел од нивната внатрешна или приватна PKI инфраструктура. Други намени за приватен PKI вклучуваат издавање сертификати за автентикација на уред или корисник, SSL за внатрешни сервери и разни конфигурации кои не се дозволени во јавните доверливи сертификати како што се бара од Форумот CA/Browser.

Прелистувачите возвраќаат

Треба да се напомене дека развивачите на прелистувачи се обидуваат да се спротивстават на овој тренд и да ги заштитат крајните корисници од MiTM. На пример, пред неколку дена Mozilla донесе одлука Стандардно овозможете го протоколот DoH (DNS-over-HTTPS) во една од следните верзии на прелистувачот во Firefox. Протоколот DoH ги крие барањата за DNS од системот DPI, што ја отежнува проверката на SSL.

За слични планови 10 септември 2019 година објави Google за прелистувачот Chrome.

Само регистрирани корисници можат да учествуваат во анкетата. Најави се, вие сте добредојдени.

Дали мислите дека една компанија има право да го проверува SSL сообраќајот на своите вработени?

• Да, со нивна согласност

• Не, барањето таква согласност е нелегално и/или неетичко

Гласале 122 корисници. 15 корисници беа воздржани.

Извор: www.habr.com