समस्याग्रस्त TLS प्रमाणपत्रे तपासण्यासाठी Mozilla CRLite लागू करते

मोझिला कंपनी घोषणा केली फायरफॉक्सच्या रात्रीच्या बिल्डमध्ये चाचणी सुरू करण्याबद्दल रद्द केलेली प्रमाणपत्रे शोधण्यासाठी एक नवीन यंत्रणा - CRLite. CRLite तुम्हाला वापरकर्त्याच्या सिस्टमवर होस्ट केलेल्या डेटाबेसच्या विरूद्ध प्रभावी प्रमाणपत्र रद्दीकरण तपासणी आयोजित करण्याची परवानगी देते. Mozilla चे CRLite अंमलबजावणी प्रकाशित मोफत MPL 2.0 परवान्याअंतर्गत. डेटाबेस आणि सर्व्हर घटक तयार करण्यासाठी कोड लिहिलेला आहे python ला आणि जा. डेटाबेसमधून डेटा वाचण्यासाठी क्लायंट भाग फायरफॉक्समध्ये जोडले गेले तयार गंज भाषेत.

अद्याप वापरल्या जाणार्‍या प्रोटोकॉलवर आधारित बाह्य सेवा वापरून प्रमाणपत्र पडताळणी ओसीएसपी (ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल) साठी गॅरंटीड नेटवर्क ऍक्सेस आवश्यक आहे, त्यामुळे विनंती प्रक्रियेत लक्षणीय विलंब होतो (सरासरी 350ms) आणि गोपनीयतेची खात्री करण्यात समस्या आहेत (विनंत्यांना प्रतिसाद देणारे OCSP सर्व्हर विशिष्ट प्रमाणपत्रांबद्दल माहिती प्राप्त करतात, ज्याचा उपयोग काय आहे हे ठरवण्यासाठी केला जाऊ शकतो. वापरकर्त्याने उघडलेल्या साइट्स). याद्यांविरुद्ध स्थानिक तपासणी होण्याचीही शक्यता आहे सीआरएल (सर्टिफिकेट रिव्होकेशन लिस्ट), परंतु या पद्धतीचा तोटा म्हणजे डाउनलोड केलेल्या डेटाचा खूप मोठा आकार - सध्या रद्द केलेल्या प्रमाणपत्रांचा डेटाबेस सुमारे 300 MB व्यापलेला आहे आणि त्याची वाढ सुरू आहे.

प्रमाणीकरण अधिकार्‍यांनी तडजोड केलेली आणि रद्द केलेली प्रमाणपत्रे अवरोधित करण्यासाठी, फायरफॉक्सने 2015 पासून केंद्रीकृत काळ्या सूचीचा वापर केला आहे. OneCRL सेवेसाठी कॉल सह संयोजनात Google सुरक्षित ब्राउझिंग संभाव्य दुर्भावनापूर्ण क्रियाकलाप ओळखण्यासाठी. OneCRL, सारखे CRLSets Chrome मध्ये, एक मध्यवर्ती दुवा म्हणून कार्य करते जे प्रमाणन अधिकार्यांकडून CRL सूची एकत्रित करते आणि रद्द केलेली प्रमाणपत्रे तपासण्यासाठी एकल केंद्रीकृत OCSP सेवा प्रदान करते, ज्यामुळे प्रमाणन अधिकार्यांना थेट विनंत्या पाठवता येत नाहीत. ऑनलाइन प्रमाणपत्र पडताळणी सेवेची विश्वासार्हता सुधारण्यासाठी बरेच काम करूनही, टेलीमेट्री डेटा दर्शवितो की OCSP पैकी 7% पेक्षा जास्त विनंत्या वेळ संपतात (काही वर्षांपूर्वी हा आकडा 15% होता).

डीफॉल्टनुसार, OCSP द्वारे सत्यापित करणे अशक्य असल्यास, ब्राउझर प्रमाणपत्र वैध मानतो. नेटवर्क समस्या आणि अंतर्गत नेटवर्कवरील निर्बंधांमुळे सेवा अनुपलब्ध असू शकते किंवा हल्लेखोरांद्वारे अवरोधित केली जाऊ शकते - MITM हल्ल्यादरम्यान OCSP तपासणीला बायपास करण्यासाठी, फक्त चेक सेवेचा प्रवेश अवरोधित करा. अंशतः असे हल्ले रोखण्यासाठी, एक तंत्र लागू केले आहे मस्ट-स्टेपल, जे तुम्हाला OCSP प्रवेश त्रुटी किंवा OCSP अनुपलब्धता प्रमाणपत्रातील समस्या म्हणून हाताळण्याची परवानगी देते, परंतु हे वैशिष्ट्य पर्यायी आहे आणि प्रमाणपत्राची विशेष नोंदणी आवश्यक आहे.

CRLite तुम्हाला सर्व रद्द केलेल्या प्रमाणपत्रांबद्दलची संपूर्ण माहिती सहज अद्ययावत केलेल्या संरचनेत एकत्रित करण्याची परवानगी देते, फक्त 1 MB आकारमान, ज्यामुळे क्लायंटच्या बाजूला संपूर्ण CRL डेटाबेस संचयित करणे शक्य होते.
ब्राउझर रद्द केलेल्या प्रमाणपत्रांबद्दलच्या डेटाची प्रत दररोज समक्रमित करण्यास सक्षम असेल आणि हा डेटाबेस कोणत्याही परिस्थितीत उपलब्ध असेल.

CRLite कडून माहिती एकत्र करते प्रमाणपत्र पारदर्शकता, सर्व जारी केलेल्या आणि रद्द केलेल्या प्रमाणपत्रांचा सार्वजनिक लॉग आणि इंटरनेटवरील प्रमाणपत्रे स्कॅन करण्याचे परिणाम (प्रमाणन प्राधिकरणाच्या विविध CRL याद्या एकत्रित केल्या जातात आणि सर्व ज्ञात प्रमाणपत्रांची माहिती एकत्रित केली जाते). कॅस्केडिंग वापरून डेटा पॅकेज केला जातो ब्लूम फिल्टर्स, एक संभाव्य रचना जी गहाळ घटकाची खोटी ओळख करण्यास अनुमती देते, परंतु विद्यमान घटक वगळणे वगळते (म्हणजे, विशिष्ट संभाव्यतेसह, योग्य प्रमाणपत्रासाठी चुकीचे सकारात्मक शक्य आहे, परंतु रद्द केलेले प्रमाणपत्र ओळखले जाण्याची हमी दिली जाते).

खोट्या सकारात्मक गोष्टी दूर करण्यासाठी, CRLite ने अतिरिक्त सुधारात्मक फिल्टर स्तर सादर केले आहेत. रचना तयार केल्यानंतर, सर्व स्त्रोत रेकॉर्ड शोधले जातात आणि कोणतेही खोटे सकारात्मक ओळखले जातात. या तपासणीच्या परिणामांवर आधारित, एक अतिरिक्त रचना तयार केली जाते, जी पहिल्यावर कॅस्केड केली जाते आणि परिणामी चुकीचे सकारात्मक दुरुस्त करते. नियंत्रण तपासणी दरम्यान खोट्या सकारात्मक गोष्टी पूर्णपणे काढून टाकल्याशिवाय ऑपरेशनची पुनरावृत्ती केली जाते. सामान्यतः, सर्व डेटा पूर्णपणे कव्हर करण्यासाठी 7-10 स्तर तयार करणे पुरेसे आहे. डेटाबेसची स्थिती, नियतकालिक सिंक्रोनाइझेशनमुळे, CRL च्या सध्याच्या स्थितीपेक्षा किंचित मागे राहते, CRLite डेटाबेसच्या शेवटच्या अद्यतनानंतर जारी केलेल्या नवीन प्रमाणपत्रांची तपासणी OCSP प्रोटोकॉल वापरून केली जाते, ज्यामध्ये OCSP स्टॅपलिंग (टीएलएस कनेक्शनची वाटाघाटी करताना साइटला सेवा देणाऱ्या सर्व्हरद्वारे प्रमाणन प्राधिकरणाद्वारे प्रमाणित केलेला OCSP प्रतिसाद प्रसारित केला जातो).

ब्लूम फिल्टर्सचा वापर करून, WebPKI कडील माहितीचा डिसेंबरचा तुकडा, ज्यामध्ये 100 दशलक्ष सक्रिय प्रमाणपत्रे आणि 750 हजार रद्द प्रमाणपत्रे समाविष्ट आहेत, ती 1.3 MB आकाराच्या संरचनेत पॅक करण्यात सक्षम होती. संरचनेची निर्मिती प्रक्रिया खूप संसाधन-केंद्रित आहे, परंतु ती Mozilla सर्व्हरवर केली जाते आणि वापरकर्त्याला एक रेडीमेड अपडेट दिले जाते. उदाहरणार्थ, बायनरी स्वरूपात, रेडिस डीबीएमएसमध्ये संग्रहित केल्यावर जनरेशन दरम्यान वापरल्या जाणार्‍या स्त्रोत डेटासाठी सुमारे 16 GB मेमरी आवश्यक असते आणि हेक्साडेसिमल स्वरूपात, सर्व प्रमाणपत्र अनुक्रमांकांचा डंप सुमारे 6.7 GB लागतो. सर्व रद्द केलेली आणि सक्रिय प्रमाणपत्रे एकत्रित करण्याच्या प्रक्रियेस सुमारे 40 मिनिटे लागतात आणि ब्लूम फिल्टरवर आधारित पॅकेज केलेली रचना तयार करण्याच्या प्रक्रियेस आणखी 20 मिनिटे लागतात.

Mozilla सध्या खात्री करतो की CRLite डेटाबेस दिवसातून चार वेळा अद्यतनित केला जातो (सर्व अद्यतने क्लायंटला वितरित केली जात नाहीत). डेल्टा अद्यतनांची निर्मिती अद्याप लागू केलेली नाही - bsdiff4 चा वापर, रिलीझसाठी डेल्टा अद्यतने तयार करण्यासाठी वापरला जातो, CRLite साठी पुरेशी कार्यक्षमता प्रदान करत नाही आणि अद्यतने अवास्तव मोठ्या आहेत. ही कमतरता दूर करण्यासाठी, अनावश्यक पुनर्बांधणी आणि स्तर हटविणे दूर करण्यासाठी स्टोरेज स्ट्रक्चरचे स्वरूप पुन्हा कार्य करण्याची योजना आहे.

CRLite सध्या फायरफॉक्समध्ये निष्क्रिय मोडमध्ये कार्य करते आणि योग्य ऑपरेशनबद्दल आकडेवारी जमा करण्यासाठी OCSP च्या समांतर वापरले जाते. CRLite मुख्य स्कॅन मोडवर स्विच केले जाऊ शकते; हे करण्यासाठी, तुम्हाला security.pki.crlite_mode = 2 हे पॅरामीटर about:config मध्ये सेट करावे लागेल.

स्त्रोत: opennet.ru