ഡിപിഐ (എസ്എസ്എൽ പരിശോധന) ക്രിപ്റ്റോഗ്രാഫിയുടെ ധാന്യത്തിന് എതിരാണ്, പക്ഷേ കമ്പനികൾ അത് നടപ്പിലാക്കുകയാണ്

വിശ്വാസത്തിൻ്റെ ചങ്ങല. CC BY-SA 4.0 യാൻപാസ്

SSL ട്രാഫിക് പരിശോധന (SSL/TLS ഡീക്രിപ്ഷൻ, SSL അല്ലെങ്കിൽ DPI വിശകലനം) കോർപ്പറേറ്റ് മേഖലയിൽ കൂടുതൽ ചർച്ചാ വിഷയമായി മാറുകയാണ്. ട്രാഫിക് ഡീക്രിപ്റ്റ് ചെയ്യുക എന്ന ആശയം ക്രിപ്റ്റോഗ്രഫി എന്ന ആശയത്തിന് വിരുദ്ധമാണെന്ന് തോന്നുന്നു. എന്നിരുന്നാലും, വസ്തുത ഒരു വസ്തുതയാണ്: കൂടുതൽ കൂടുതൽ കമ്പനികൾ DPI സാങ്കേതികവിദ്യകൾ ഉപയോഗിക്കുന്നു, ക്ഷുദ്രവെയർ, ഡാറ്റ ചോർച്ച മുതലായവയ്ക്കുള്ള ഉള്ളടക്കം പരിശോധിക്കേണ്ടതിൻ്റെ ആവശ്യകത ഇത് വിശദീകരിക്കുന്നു.

ശരി, അത്തരം സാങ്കേതികവിദ്യ നടപ്പിലാക്കേണ്ടതുണ്ടെന്ന വസ്തുത ഞങ്ങൾ അംഗീകരിക്കുന്നുവെങ്കിൽ, സാധ്യമായ ഏറ്റവും സുരക്ഷിതവും നന്നായി കൈകാര്യം ചെയ്യപ്പെടുന്നതുമായ വഴികൾ ഞങ്ങൾ പരിഗണിക്കണം. കുറഞ്ഞത് ആ സർട്ടിഫിക്കറ്റുകളെ ആശ്രയിക്കരുത്, ഉദാഹരണത്തിന്, DPI സിസ്റ്റം വിതരണക്കാരൻ നിങ്ങൾക്ക് നൽകുന്നു.

നടപ്പാക്കലിൻ്റെ ഒരു വശമുണ്ട്, അത് എല്ലാവർക്കും അറിയില്ല. വാസ്‌തവത്തിൽ, പലരും ഇതിനെക്കുറിച്ച് കേൾക്കുമ്പോൾ ശരിക്കും ആശ്ചര്യപ്പെടുന്നു. ഇതൊരു സ്വകാര്യ സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയാണ് (CA). ട്രാഫിക് ഡീക്രിപ്റ്റ് ചെയ്യാനും വീണ്ടും എൻക്രിപ്റ്റ് ചെയ്യാനും ഇത് സർട്ടിഫിക്കറ്റുകൾ സൃഷ്ടിക്കുന്നു.

സ്വയം ഒപ്പിട്ട സർട്ടിഫിക്കറ്റുകളെയോ ഡിപിഐ ഉപകരണങ്ങളിൽ നിന്നുള്ള സർട്ടിഫിക്കറ്റുകളെയോ ആശ്രയിക്കുന്നതിനുപകരം, GlobalSign പോലുള്ള ഒരു മൂന്നാം കക്ഷി സർട്ടിഫിക്കറ്റ് അതോറിറ്റിയിൽ നിന്നുള്ള ഒരു സമർപ്പിത CA നിങ്ങൾക്ക് ഉപയോഗിക്കാം. എന്നാൽ ആദ്യം, നമുക്ക് പ്രശ്നത്തെക്കുറിച്ച് ഒരു ചെറിയ അവലോകനം നടത്താം.

എന്താണ് SSL പരിശോധന, എന്തിനാണ് ഇത് ഉപയോഗിക്കുന്നത്?

കൂടുതൽ കൂടുതൽ പൊതു വെബ്‌സൈറ്റുകൾ HTTPS-ലേക്ക് നീങ്ങുന്നു. ഉദാഹരണത്തിന്, പ്രകാരം Chrome സ്ഥിതിവിവരക്കണക്കുകൾ, 2019 സെപ്തംബർ തുടക്കത്തിൽ, റഷ്യയിലെ എൻക്രിപ്റ്റ് ചെയ്ത ട്രാഫിക്കിൻ്റെ പങ്ക് 83% ആയി.

നിർഭാഗ്യവശാൽ, ട്രാഫിക് എൻക്രിപ്ഷൻ ആക്രമണകാരികൾ കൂടുതലായി ഉപയോഗിക്കുന്നു, പ്രത്യേകിച്ചും ആയിരക്കണക്കിന് സൗജന്യ എസ്എസ്എൽ സർട്ടിഫിക്കറ്റുകൾ ഓട്ടോമേറ്റഡ് രീതിയിൽ ലെറ്റ്സ് എൻക്രിപ്റ്റ് വിതരണം ചെയ്യുന്നതിനാൽ. അങ്ങനെ, HTTPS എല്ലായിടത്തും ഉപയോഗിക്കുന്നു - കൂടാതെ ബ്രൗസർ വിലാസ ബാറിലെ പാഡ്‌ലോക്ക് സുരക്ഷയുടെ വിശ്വസനീയമായ സൂചകമായി പ്രവർത്തിക്കുന്നത് അവസാനിപ്പിച്ചു.

DPI സൊല്യൂഷനുകളുടെ നിർമ്മാതാക്കൾ ഈ സ്ഥാനങ്ങളിൽ നിന്ന് അവരുടെ ഉൽപ്പന്നങ്ങൾ പ്രോത്സാഹിപ്പിക്കുന്നു. അവ അന്തിമ ഉപയോക്താക്കൾക്കും (അതായത് വെബ് ബ്രൗസ് ചെയ്യുന്ന നിങ്ങളുടെ ജീവനക്കാർക്കും) ഇൻറർനെറ്റിനും ഇടയിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്, ക്ഷുദ്രകരമായ ട്രാഫിക് ഫിൽട്ടർ ചെയ്യുന്നു. ഇന്ന് വിപണിയിൽ അത്തരം നിരവധി ഉൽപ്പന്നങ്ങൾ ഉണ്ട്, എന്നാൽ പ്രക്രിയകൾ അടിസ്ഥാനപരമായി സമാനമാണ്. HTTPS ട്രാഫിക് ഒരു പരിശോധന ഉപകരണത്തിലൂടെ കടന്നുപോകുന്നു, അവിടെ അത് ഡീക്രിപ്റ്റ് ചെയ്യുകയും ക്ഷുദ്രവെയർ ഉണ്ടോയെന്ന് പരിശോധിക്കുകയും ചെയ്യുന്നു.

പരിശോധിച്ചുറപ്പിക്കൽ പൂർത്തിയായിക്കഴിഞ്ഞാൽ, ഉള്ളടക്കം ഡീക്രിപ്റ്റ് ചെയ്യാനും വീണ്ടും എൻക്രിപ്റ്റ് ചെയ്യാനും ഉപകരണം എൻഡ് ക്ലയൻ്റുമായി ഒരു പുതിയ SSL സെഷൻ സൃഷ്ടിക്കുന്നു.

ഡീക്രിപ്ഷൻ/റീ-എൻക്രിപ്ഷൻ പ്രക്രിയ എങ്ങനെ പ്രവർത്തിക്കുന്നു

അന്തിമ ഉപയോക്താക്കൾക്ക് അയയ്‌ക്കുന്നതിന് മുമ്പ് പാക്കറ്റുകൾ ഡീക്രിപ്റ്റ് ചെയ്യാനും വീണ്ടും എൻക്രിപ്റ്റ് ചെയ്യാനും SSL ഇൻസ്പെക്ഷൻ അപ്ലയൻസ് വേണ്ടി, അത് ഫ്ലൈയിൽ തന്നെ SSL സർട്ടിഫിക്കറ്റുകൾ നൽകണം. ഇതിനർത്ഥം ഇതിന് ഒരു CA സർട്ടിഫിക്കറ്റ് ഇൻസ്റ്റാൾ ചെയ്തിരിക്കണം എന്നാണ്.

ഈ SSL സർട്ടിഫിക്കറ്റുകൾ ബ്രൗസറുകൾ (അതായത്, ചുവടെയുള്ളത് പോലെയുള്ള ഭയാനകമായ മുന്നറിയിപ്പ് സന്ദേശങ്ങൾ ട്രിഗർ ചെയ്യരുത്) വിശ്വസനീയമാണെന്നത് കമ്പനിക്ക് (അല്ലെങ്കിൽ മധ്യത്തിലുള്ളവർ ആരായാലും) പ്രധാനമാണ്. അതിനാൽ CA ചെയിൻ (അല്ലെങ്കിൽ ശ്രേണി) ബ്രൗസറിൻ്റെ ട്രസ്റ്റ് സ്റ്റോറിലായിരിക്കണം. ഈ സർട്ടിഫിക്കറ്റുകൾ പൊതുവായി വിശ്വസനീയമായ സർട്ടിഫിക്കറ്റ് അധികാരികളിൽ നിന്ന് നൽകാത്തതിനാൽ, നിങ്ങൾ എല്ലാ അന്തിമ ക്ലയൻ്റുകൾക്കും CA ശ്രേണി സ്വമേധയാ വിതരണം ചെയ്യണം.

Chrome-ൽ സ്വയം ഒപ്പിട്ട സർട്ടിഫിക്കറ്റിനുള്ള മുന്നറിയിപ്പ് സന്ദേശം. ഉറവിടം: BadSSL.com

വിൻഡോസ് കമ്പ്യൂട്ടറുകളിൽ, നിങ്ങൾക്ക് ആക്റ്റീവ് ഡയറക്ടറിയും ഗ്രൂപ്പ് പോളിസികളും ഉപയോഗിക്കാം, എന്നാൽ മൊബൈൽ ഉപകരണങ്ങൾക്ക് നടപടിക്രമം കൂടുതൽ സങ്കീർണ്ണമാണ്.

ഒരു കോർപ്പറേറ്റ് പരിതസ്ഥിതിയിൽ നിങ്ങൾക്ക് മറ്റ് റൂട്ട് സർട്ടിഫിക്കറ്റുകളെ പിന്തുണയ്‌ക്കണമെങ്കിൽ, ഉദാഹരണത്തിന്, Microsoft-ൽ നിന്നോ അല്ലെങ്കിൽ OpenSSL അടിസ്ഥാനമാക്കിയുള്ളതോ ആയ സാഹചര്യം കൂടുതൽ സങ്കീർണ്ണമാകും. കൂടാതെ സ്വകാര്യ കീകളുടെ സംരക്ഷണവും മാനേജ്മെൻ്റും ആയതിനാൽ ഏതെങ്കിലും കീകൾ അപ്രതീക്ഷിതമായി കാലഹരണപ്പെടില്ല.

മികച്ച ഓപ്ഷൻ: ഒരു മൂന്നാം കക്ഷി സിഎയിൽ നിന്നുള്ള സ്വകാര്യ, സമർപ്പിത റൂട്ട് സർട്ടിഫിക്കറ്റ്

ഒന്നിലധികം റൂട്ടുകളോ സ്വയം ഒപ്പിട്ട സർട്ടിഫിക്കറ്റുകളോ കൈകാര്യം ചെയ്യുന്നത് ആകർഷകമല്ലെങ്കിൽ, മറ്റൊരു ഓപ്ഷനുണ്ട്: ഒരു മൂന്നാം കക്ഷി CA-യെ ആശ്രയിക്കുക. ഈ സാഹചര്യത്തിൽ, സർട്ടിഫിക്കറ്റുകൾ വിതരണം ചെയ്യുന്നു സ്വകാര്യം കമ്പനിയ്‌ക്കായി പ്രത്യേകം സൃഷ്‌ടിച്ച ഒരു സമർപ്പിത, സ്വകാര്യ റൂട്ട് സിഎയുമായി വിശ്വാസത്തിൻ്റെ ശൃംഖലയിൽ ബന്ധിപ്പിച്ചിരിക്കുന്ന ഒരു സിഎ.

സമർപ്പിത ക്ലയൻ്റ് റൂട്ട് സർട്ടിഫിക്കറ്റുകൾക്കായുള്ള ലളിതമായ ആർക്കിടെക്ചർ

ഈ സജ്ജീകരണം മുമ്പ് സൂചിപ്പിച്ച ചില പ്രശ്നങ്ങൾ ഇല്ലാതാക്കുന്നു: കുറഞ്ഞത് ഇത് കൈകാര്യം ചെയ്യേണ്ട റൂട്ടുകളുടെ എണ്ണം കുറയ്ക്കുന്നു. എല്ലാ ഇൻ്റേണൽ PKI ആവശ്യങ്ങൾക്കും, എത്രയോ ഇൻ്റർമീഡിയറ്റ് CA-കൾക്കൊപ്പം ഇവിടെ നിങ്ങൾക്ക് ഒരു സ്വകാര്യ റൂട്ട് അതോറിറ്റി ഉപയോഗിക്കാം. ഉദാഹരണത്തിന്, മുകളിലെ ഡയഗ്രം ഒരു മൾട്ടി-ലെവൽ ശ്രേണി കാണിക്കുന്നു, അവിടെ ഇൻ്റർമീഡിയറ്റ് CA-കളിൽ ഒന്ന് SSL പരിശോധന/ഡീക്രിപ്ഷനും മറ്റൊന്ന് ആന്തരിക കമ്പ്യൂട്ടറുകൾക്കും (ലാപ്‌ടോപ്പുകൾ, സെർവറുകൾ, ഡെസ്‌ക്‌ടോപ്പുകൾ മുതലായവ) ഉപയോഗിക്കുന്നു.

ഈ രൂപകൽപ്പനയിൽ, എല്ലാ ക്ലയൻ്റുകളിലും ഒരു CA ഹോസ്റ്റ് ചെയ്യേണ്ട ആവശ്യമില്ല, കാരണം ഉയർന്ന തലത്തിലുള്ള CA GlobalSign ആണ് ഹോസ്റ്റ് ചെയ്യുന്നത്, ഇത് സ്വകാര്യ കീ പരിരക്ഷയും കാലഹരണപ്പെടൽ പ്രശ്നങ്ങളും പരിഹരിക്കുന്നു.

ഈ സമീപനത്തിൻ്റെ മറ്റൊരു നേട്ടം, ഏതെങ്കിലും കാരണത്താൽ എസ്എസ്എൽ പരിശോധനാ അധികാരം പിൻവലിക്കാനുള്ള കഴിവാണ്. പകരം, നിങ്ങളുടെ യഥാർത്ഥ സ്വകാര്യ റൂട്ടുമായി ബന്ധിപ്പിച്ചിരിക്കുന്ന ഒരു പുതിയത് ലളിതമായി സൃഷ്‌ടിക്കപ്പെട്ടിരിക്കുന്നു, നിങ്ങൾക്ക് അത് ഉടനടി ഉപയോഗിക്കാനാകും.

എല്ലാ വിവാദങ്ങൾക്കിടയിലും, എൻ്റർപ്രൈസുകൾ അവരുടെ ആന്തരിക അല്ലെങ്കിൽ സ്വകാര്യ PKI ഇൻഫ്രാസ്ട്രക്ചറിൻ്റെ ഭാഗമായി SSL ട്രാഫിക് പരിശോധന കൂടുതലായി നടപ്പിലാക്കുന്നു. സ്വകാര്യ PKI-യുടെ മറ്റ് ഉപയോഗങ്ങളിൽ ഉപകരണത്തിനോ ഉപയോക്തൃ പ്രാമാണീകരണത്തിനോ വേണ്ടിയുള്ള സർട്ടിഫിക്കറ്റുകൾ, ആന്തരിക സെർവറുകൾക്കുള്ള SSL, CA/ബ്രൗസർ ഫോറം ആവശ്യപ്പെടുന്ന പൊതു വിശ്വാസ്യതയുള്ള സർട്ടിഫിക്കറ്റുകളിൽ അനുവദനീയമല്ലാത്ത വിവിധ കോൺഫിഗറേഷനുകൾ എന്നിവ ഉൾപ്പെടുന്നു.

ബ്രൗസറുകൾ തിരിച്ചടിക്കുന്നു

ബ്രൗസർ ഡെവലപ്പർമാർ ഈ പ്രവണതയെ പ്രതിരോധിക്കാനും അന്തിമ ഉപയോക്താക്കളെ MiTM ൽ നിന്ന് സംരക്ഷിക്കാനും ശ്രമിക്കുന്നു എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്. ഉദാഹരണത്തിന്, കുറച്ച് ദിവസങ്ങൾക്ക് മുമ്പ് മോസില്ല ഒരു തീരുമാനമെടുത്തു Firefox-ലെ അടുത്ത ബ്രൗസർ പതിപ്പുകളിലൊന്നിൽ ഡിഫോൾട്ടായി DoH (DNS-over-HTTPS) പ്രോട്ടോക്കോൾ പ്രവർത്തനക്ഷമമാക്കുക. DoH പ്രോട്ടോക്കോൾ DPI സിസ്റ്റത്തിൽ നിന്ന് DNS അന്വേഷണങ്ങൾ മറയ്ക്കുന്നു, ഇത് SSL പരിശോധന ദുഷ്കരമാക്കുന്നു.

10 സെപ്റ്റംബർ 2019-ന് സമാനമായ പ്ലാനുകളെ കുറിച്ച് പ്രഖ്യാപിച്ചു Chrome ബ്രൗസറിനായി Google.

രജിസ്റ്റർ ചെയ്ത ഉപയോക്താക്കൾക്ക് മാത്രമേ സർവേയിൽ പങ്കെടുക്കാൻ കഴിയൂ. സൈൻ ഇൻദയവായി.

ഒരു കമ്പനിക്ക് അതിൻ്റെ ജീവനക്കാരുടെ SSL ട്രാഫിക് പരിശോധിക്കാൻ അവകാശമുണ്ടെന്ന് നിങ്ങൾ കരുതുന്നുണ്ടോ?

• അതെ, അവരുടെ സമ്മതത്തോടെ

• ഇല്ല, അത്തരം സമ്മതം ചോദിക്കുന്നത് നിയമവിരുദ്ധവും കൂടാതെ/അല്ലെങ്കിൽ അനീതിയുമാണ്

122 ഉപയോക്താക്കൾ വോട്ട് ചെയ്തു. 15 ഉപയോക്താക്കൾ വിട്ടുനിന്നു.

അവലംബം: www.habr.com