പ്രശ്നമുള്ള TLS സർട്ടിഫിക്കറ്റുകൾ പരിശോധിക്കാൻ മോസില്ല CRLite നടപ്പിലാക്കുന്നു

മോസില്ല കമ്പനി പ്രഖ്യാപിച്ചു അസാധുവാക്കപ്പെട്ട സർട്ടിഫിക്കറ്റുകൾ കണ്ടെത്തുന്നതിനുള്ള ഒരു പുതിയ സംവിധാനം ഫയർഫോക്സിന്റെ രാത്രികാല ബിൽഡുകളിൽ പരീക്ഷണം ആരംഭിക്കുന്നതിനെക്കുറിച്ച് - CRLite. ഉപയോക്താവിന്റെ സിസ്റ്റത്തിൽ ഹോസ്റ്റ് ചെയ്‌തിരിക്കുന്ന ഒരു ഡാറ്റാബേസിനെതിരെ ഫലപ്രദമായ സർട്ടിഫിക്കറ്റ് അസാധുവാക്കൽ പരിശോധന സംഘടിപ്പിക്കാൻ CRLite നിങ്ങളെ അനുവദിക്കുന്നു. മോസില്ലയുടെ CRLite നടപ്പിലാക്കൽ പ്രസിദ്ധീകരിച്ചു സൗജന്യ MPL 2.0 ലൈസൻസിന് കീഴിൽ. ഡാറ്റാബേസും സെർവർ ഘടകങ്ങളും സൃഷ്ടിക്കുന്നതിനുള്ള കോഡ് എഴുതിയിരിക്കുന്നു പൈത്തൺ ഒപ്പം പോകുക. ഡാറ്റാബേസിൽ നിന്നുള്ള ഡാറ്റ വായിക്കുന്നതിനായി ഫയർഫോക്സിലേക്ക് ക്ലയന്റ് ഭാഗങ്ങൾ ചേർത്തു തയ്യാറാക്കിയത് റസ്റ്റ് ഭാഷയിൽ.

ഇപ്പോഴും ഉപയോഗിക്കുന്ന പ്രോട്ടോക്കോൾ അടിസ്ഥാനമാക്കി ബാഹ്യ സേവനങ്ങൾ ഉപയോഗിച്ചുള്ള സർട്ടിഫിക്കറ്റ് പരിശോധന ഒ.സി.എസ്.പി. (ഓൺലൈൻ സർട്ടിഫിക്കറ്റ് സ്റ്റാറ്റസ് പ്രോട്ടോക്കോൾ) ഗ്യാരണ്ടീഡ് നെറ്റ്‌വർക്ക് ആക്‌സസ് ആവശ്യമാണ്, അഭ്യർത്ഥന പ്രോസസ്സിംഗിൽ കാര്യമായ കാലതാമസത്തിന് കാരണമാകുന്നു (ശരാശരി 350മി.) രഹസ്യസ്വഭാവം ഉറപ്പാക്കുന്നതിൽ പ്രശ്‌നങ്ങളുണ്ട് (അഭ്യർത്ഥനകളോട് പ്രതികരിക്കുന്ന OCSP സെർവറുകൾക്ക് നിർദ്ദിഷ്‌ട സർട്ടിഫിക്കറ്റുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ ലഭിക്കുന്നു, അത് എന്താണെന്ന് നിർണ്ണയിക്കാൻ ഉപയോഗിക്കാം. ഉപയോക്താവ് തുറക്കുന്ന സൈറ്റുകൾ). ലിസ്റ്റുകൾക്കെതിരെ പ്രാദേശിക പരിശോധനയ്ക്കും സാധ്യതയുണ്ട് സി.ആർ.എൽ. (സർട്ടിഫിക്കറ്റ് അസാധുവാക്കൽ ലിസ്റ്റ്), എന്നാൽ ഈ രീതിയുടെ പോരായ്മ ഡൗൺലോഡ് ചെയ്ത ഡാറ്റയുടെ വളരെ വലിയ വലുപ്പമാണ് - നിലവിൽ അസാധുവാക്കപ്പെട്ട സർട്ടിഫിക്കറ്റുകളുടെ ഡാറ്റാബേസ് ഏകദേശം 300 MB ഉൾക്കൊള്ളുന്നു, അതിന്റെ വളർച്ച തുടരുന്നു.

സർട്ടിഫിക്കേഷൻ അധികാരികൾ വിട്ടുവീഴ്ച ചെയ്യപ്പെടുകയും അസാധുവാക്കുകയും ചെയ്ത സർട്ടിഫിക്കറ്റുകൾ തടയാൻ, Firefox 2015 മുതൽ ഒരു കേന്ദ്രീകൃത ബ്ലാക്ക്‌ലിസ്റ്റ് ഉപയോഗിച്ചു. OneCRL ഒരു സേവന കോളുമായി സംയോജിച്ച് Google സുരക്ഷിത ബ്രൗസിംഗ് സാധ്യമായ ക്ഷുദ്ര പ്രവർത്തനം തിരിച്ചറിയാൻ. OneCRL, പോലെ CRLSets Chrome-ൽ, സർട്ടിഫിക്കേഷൻ അധികാരികളിൽ നിന്നുള്ള CRL ലിസ്റ്റുകൾ സമാഹരിക്കുന്ന ഒരു ഇന്റർമീഡിയറ്റ് ലിങ്കായി പ്രവർത്തിക്കുകയും അസാധുവാക്കപ്പെട്ട സർട്ടിഫിക്കറ്റുകൾ പരിശോധിക്കുന്നതിനായി ഒരൊറ്റ കേന്ദ്രീകൃത OCSP സേവനം നൽകുകയും ചെയ്യുന്നു, ഇത് സർട്ടിഫിക്കേഷൻ അധികാരികൾക്ക് നേരിട്ട് അഭ്യർത്ഥനകൾ അയയ്‌ക്കാതിരിക്കുന്നത് സാധ്യമാക്കുന്നു. ഓൺലൈൻ സർട്ടിഫിക്കറ്റ് വെരിഫിക്കേഷൻ സേവനത്തിന്റെ വിശ്വാസ്യത മെച്ചപ്പെടുത്തുന്നതിന് വളരെയധികം പരിശ്രമിച്ചിട്ടും, ടെലിമെട്രി ഡാറ്റ കാണിക്കുന്നത് 7% OCSP അഭ്യർത്ഥനകൾ സമയം കഴിഞ്ഞു എന്നാണ് (കുറച്ച് വർഷങ്ങൾക്ക് മുമ്പ് ഈ കണക്ക് 15% ആയിരുന്നു).

സ്ഥിരസ്ഥിതിയായി, OCSP വഴി പരിശോധിക്കുന്നത് അസാധ്യമാണെങ്കിൽ, ബ്രൗസർ സർട്ടിഫിക്കറ്റ് സാധുതയുള്ളതായി കണക്കാക്കുന്നു. നെറ്റ്‌വർക്ക് പ്രശ്‌നങ്ങളും ആന്തരിക നെറ്റ്‌വർക്കുകളിലെ നിയന്ത്രണങ്ങളും കാരണം സേവനം ലഭ്യമല്ലായിരിക്കാം, അല്ലെങ്കിൽ ആക്രമണകാരികൾ ബ്ലോക്ക് ചെയ്‌തേക്കാം - ഒരു MITM ആക്രമണ സമയത്ത് OCSP പരിശോധന മറികടക്കാൻ, ചെക്ക് സേവനത്തിലേക്കുള്ള ആക്‌സസ് തടയുക. അത്തരം ആക്രമണങ്ങൾ ഭാഗികമായി തടയാൻ, ഒരു സാങ്കേതികത നടപ്പിലാക്കിയിട്ടുണ്ട് മസ്റ്റ്-സ്റ്റേപ്പിൾ, ഒരു OCSP ആക്സസ് പിശക് അല്ലെങ്കിൽ OCSP ലഭ്യമല്ലാത്തത് സർട്ടിഫിക്കറ്റിലെ ഒരു പ്രശ്നമായി പരിഗണിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു, എന്നാൽ ഈ സവിശേഷത ഓപ്ഷണൽ ആണ് കൂടാതെ സർട്ടിഫിക്കറ്റിന്റെ പ്രത്യേക രജിസ്ട്രേഷൻ ആവശ്യമാണ്.

അസാധുവാക്കിയ എല്ലാ സർട്ടിഫിക്കറ്റുകളെയും കുറിച്ചുള്ള പൂർണ്ണമായ വിവരങ്ങൾ എളുപ്പത്തിൽ അപ്‌ഡേറ്റ് ചെയ്യാവുന്ന ഘടനയിലേക്ക് ഏകീകരിക്കാൻ CRLite നിങ്ങളെ അനുവദിക്കുന്നു, 1 MB മാത്രം വലിപ്പമുണ്ട്, ഇത് ക്ലയന്റ് വശത്ത് പൂർണ്ണമായ CRL ഡാറ്റാബേസ് സംഭരിക്കുന്നത് സാധ്യമാക്കുന്നു.
അസാധുവാക്കപ്പെട്ട സർട്ടിഫിക്കറ്റുകളെക്കുറിച്ചുള്ള ഡാറ്റയുടെ പകർപ്പ് ബ്രൗസറിന് ദിവസേന സമന്വയിപ്പിക്കാൻ കഴിയും, കൂടാതെ ഈ ഡാറ്റാബേസ് ഏത് സാഹചര്യത്തിലും ലഭ്യമാകും.

CRLite എന്നതിൽ നിന്നുള്ള വിവരങ്ങൾ സംയോജിപ്പിക്കുന്നു സർട്ടിഫിക്കറ്റ് സുതാര്യത, ഇഷ്യൂ ചെയ്തതും അസാധുവാക്കിയതുമായ എല്ലാ സർട്ടിഫിക്കറ്റുകളുടെയും ഒരു പൊതു ലോഗ്, ഇൻറർനെറ്റിലെ സർട്ടിഫിക്കറ്റുകൾ സ്കാൻ ചെയ്യുന്നതിന്റെ ഫലങ്ങൾ (സർട്ടിഫിക്കേഷൻ അധികാരികളുടെ വിവിധ CRL ലിസ്റ്റുകൾ ശേഖരിക്കുകയും അറിയപ്പെടുന്ന എല്ലാ സർട്ടിഫിക്കറ്റുകളെ കുറിച്ചുള്ള വിവരങ്ങൾ സമാഹരിക്കുകയും ചെയ്യുന്നു). കാസ്കേഡിംഗ് ഉപയോഗിച്ചാണ് ഡാറ്റ പാക്കേജ് ചെയ്യുന്നത് ബ്ലൂം ഫിൽട്ടറുകൾ, നഷ്‌ടമായ ഘടകത്തിന്റെ തെറ്റായ കണ്ടെത്തൽ അനുവദിക്കുന്ന ഒരു പ്രോബബിലിസ്റ്റിക് ഘടന, എന്നാൽ നിലവിലുള്ള ഒരു ഘടകത്തിന്റെ ഒഴിവാക്കൽ ഒഴിവാക്കുന്നു (അതായത്, ഒരു നിശ്ചിത പ്രോബബിലിറ്റിയോടെ, ശരിയായ സർട്ടിഫിക്കറ്റിന് തെറ്റായ പോസിറ്റീവ് സാധ്യമാണ്, എന്നാൽ അസാധുവാക്കപ്പെട്ട സർട്ടിഫിക്കറ്റുകൾ തിരിച്ചറിയുമെന്ന് ഉറപ്പുനൽകുന്നു).

തെറ്റായ പോസിറ്റീവുകൾ ഇല്ലാതാക്കാൻ, CRLite അധിക തിരുത്തൽ ഫിൽട്ടർ ലെവലുകൾ അവതരിപ്പിച്ചു. ഘടന സൃഷ്ടിച്ച ശേഷം, എല്ലാ ഉറവിട രേഖകളും തിരയുകയും തെറ്റായ പോസിറ്റീവുകൾ തിരിച്ചറിയുകയും ചെയ്യുന്നു. ഈ പരിശോധനയുടെ ഫലങ്ങളെ അടിസ്ഥാനമാക്കി, ഒരു അധിക ഘടന സൃഷ്ടിക്കപ്പെടുന്നു, അത് ആദ്യത്തേതിലേക്ക് കാസ്കേഡ് ചെയ്യുകയും ഫലമായുണ്ടാകുന്ന തെറ്റായ പോസിറ്റീവുകൾ ശരിയാക്കുകയും ചെയ്യുന്നു. നിയന്ത്രണ പരിശോധനയ്ക്കിടെ തെറ്റായ പോസിറ്റീവുകൾ പൂർണ്ണമായും ഇല്ലാതാകുന്നതുവരെ പ്രവർത്തനം ആവർത്തിക്കുന്നു. സാധാരണഗതിയിൽ, 7-10 ലെയറുകൾ സൃഷ്ടിക്കുന്നത് എല്ലാ ഡാറ്റയും പൂർണ്ണമായും ഉൾക്കൊള്ളാൻ മതിയാകും. ഡാറ്റാബേസിന്റെ അവസ്ഥ, ആനുകാലിക സമന്വയം കാരണം, CRL-ന്റെ നിലവിലെ അവസ്ഥയിൽ നിന്ന് അൽപം പിന്നിലായതിനാൽ, CRLite ഡാറ്റാബേസിന്റെ അവസാന അപ്‌ഡേറ്റിന് ശേഷം നൽകിയ പുതിയ സർട്ടിഫിക്കറ്റുകളുടെ പരിശോധന OCSP പ്രോട്ടോക്കോൾ ഉപയോഗിച്ചാണ് നടത്തുന്നത്. OCSP സ്റ്റാപ്ലിംഗ് (ഒരു TLS കണക്ഷൻ ചർച്ച ചെയ്യുമ്പോൾ, ഒരു സർട്ടിഫിക്കേഷൻ അതോറിറ്റി സാക്ഷ്യപ്പെടുത്തിയ ഒരു OCSP പ്രതികരണം, സൈറ്റിനെ സേവിക്കുന്ന സെർവർ വഴി കൈമാറുന്നു).

ബ്ലൂം ഫിൽട്ടറുകൾ ഉപയോഗിച്ച്, 100 ദശലക്ഷം സജീവ സർട്ടിഫിക്കറ്റുകളും 750 ആയിരം അസാധുവാക്കപ്പെട്ട സർട്ടിഫിക്കറ്റുകളും ഉൾക്കൊള്ളുന്ന WebPKI-യിൽ നിന്നുള്ള ഡിസംബർ സ്ലൈസ് വിവരങ്ങൾ 1.3 MB വലുപ്പമുള്ള ഒരു ഘടനയിലേക്ക് പാക്ക് ചെയ്യാൻ കഴിഞ്ഞു. സ്ട്രക്ചർ ജനറേഷൻ പ്രക്രിയ തികച്ചും റിസോഴ്‌സ്-ഇന്റൻസീവ് ആണ്, പക്ഷേ ഇത് മോസില്ല സെർവറിൽ നടപ്പിലാക്കുകയും ഉപയോക്താവിന് ഒരു റെഡിമെയ്ഡ് അപ്‌ഡേറ്റ് നൽകുകയും ചെയ്യുന്നു. ഉദാഹരണത്തിന്, ബൈനറി രൂപത്തിൽ, Redis DBMS-ൽ സംഭരിക്കുമ്പോൾ ജനറേഷൻ സമയത്ത് ഉപയോഗിക്കുന്ന ഉറവിട ഡാറ്റയ്ക്ക് ഏകദേശം 16 GB മെമ്മറി ആവശ്യമാണ്, കൂടാതെ ഹെക്സാഡെസിമൽ രൂപത്തിൽ, എല്ലാ സർട്ടിഫിക്കറ്റ് സീരിയൽ നമ്പറുകളുടെയും ഒരു ഡംപ് ഏകദേശം 6.7 GB എടുക്കും. അസാധുവാക്കപ്പെട്ടതും സജീവവുമായ എല്ലാ സർട്ടിഫിക്കറ്റുകളും സമാഹരിക്കുന്ന പ്രക്രിയയ്ക്ക് ഏകദേശം 40 മിനിറ്റ് എടുക്കും, ബ്ലൂം ഫിൽട്ടറിനെ അടിസ്ഥാനമാക്കി ഒരു പാക്കേജ് ഘടന സൃഷ്ടിക്കുന്നതിനുള്ള പ്രക്രിയയ്ക്ക് മറ്റൊരു 20 മിനിറ്റ് എടുക്കും.

CRLite ഡാറ്റാബേസ് ഒരു ദിവസം നാല് തവണ അപ്‌ഡേറ്റ് ചെയ്യുന്നുവെന്ന് മോസില്ല നിലവിൽ ഉറപ്പാക്കുന്നു (എല്ലാ അപ്‌ഡേറ്റുകളും ക്ലയന്റുകൾക്ക് കൈമാറില്ല). ഡെൽറ്റ അപ്‌ഡേറ്റുകളുടെ ജനറേഷൻ ഇതുവരെ നടപ്പിലാക്കിയിട്ടില്ല - റിലീസുകൾക്കായി ഡെൽറ്റ അപ്‌ഡേറ്റുകൾ സൃഷ്ടിക്കാൻ ഉപയോഗിക്കുന്ന bsdiff4 ന്റെ ഉപയോഗം, CRLite-ന് മതിയായ കാര്യക്ഷമത നൽകുന്നില്ല, കൂടാതെ അപ്‌ഡേറ്റുകൾ യുക്തിരഹിതമായി വലുതാണ്. ഈ പോരായ്മ ഇല്ലാതാക്കാൻ, ലെയറുകളുടെ അനാവശ്യ പുനർനിർമ്മാണവും ഇല്ലാതാക്കലും ഇല്ലാതാക്കുന്നതിന് സ്റ്റോറേജ് ഘടനയുടെ ഫോർമാറ്റ് പുനർനിർമ്മിക്കാൻ പദ്ധതിയിട്ടിട്ടുണ്ട്.

CRLite നിലവിൽ ഫയർഫോക്സിൽ നിഷ്ക്രിയ മോഡിൽ പ്രവർത്തിക്കുന്നു, ശരിയായ പ്രവർത്തനത്തെക്കുറിച്ചുള്ള സ്ഥിതിവിവരക്കണക്കുകൾ ശേഖരിക്കുന്നതിന് OCSP-ക്ക് സമാന്തരമായി ഉപയോഗിക്കുന്നു. CRLite പ്രധാന സ്കാൻ മോഡിലേക്ക് മാറാം; ഇത് ചെയ്യുന്നതിന്, about:config എന്നതിൽ security.pki.crlite_mode = 2 എന്ന പാരാമീറ്റർ സജ്ജീകരിക്കേണ്ടതുണ്ട്.

അവലംബം: opennet.ru