मोजिलाले समस्याग्रस्त TLS प्रमाणपत्रहरू जाँच गर्न CRLite लागू गर्छ

मोजिला कम्पनी घोषणा गरियो फायरफक्सको राती निर्माणमा परीक्षण सुरु गर्ने बारे रद्द गरिएका प्रमाणपत्रहरू पत्ता लगाउनको लागि नयाँ संयन्त्र - CRLite। CRLite ले तपाईंलाई प्रयोगकर्ताको प्रणालीमा होस्ट गरिएको डाटाबेस विरुद्ध प्रभावकारी प्रमाणपत्र रद्दीकरण जाँच व्यवस्थित गर्न अनुमति दिन्छ। मोजिलाको CRLite कार्यान्वयन प्रकाशित भयो नि: शुल्क MPL 2.0 लाइसेन्स अन्तर्गत। डाटाबेस र सर्भर कम्पोनेन्टहरू उत्पन्न गर्नको लागि कोड लेखिएको छ अजगर र जानुहोस्। डाटाबेसबाट डाटा पढ्नका लागि फायरफक्समा क्लाइन्ट पार्टहरू थपियो तयार रस्ट भाषामा।

अझै पनि प्रयोग गरिएको प्रोटोकलमा आधारित बाह्य सेवाहरू प्रयोग गरेर प्रमाणपत्र प्रमाणीकरण OCSP (अनलाइन प्रमाणपत्र स्थिति प्रोटोकल) लाई ग्यारेन्टी नेटवर्क पहुँच चाहिन्छ, अनुरोध प्रशोधनमा महत्त्वपूर्ण ढिलाइ हुन्छ (औसतमा 350ms) र गोपनीयता सुनिश्चित गर्नमा समस्याहरू छन् (अनुरोधहरूको जवाफ दिने OCSP सर्भरहरूले विशिष्ट प्रमाणपत्रहरूको बारेमा जानकारी प्राप्त गर्दछ, जुन के हो भनेर निर्णय गर्न प्रयोग गर्न सकिन्छ। प्रयोगकर्ताले खोल्ने साइटहरू)। सूचीहरू विरुद्ध स्थानीय जाँचको सम्भावना पनि छ C.R.L. (सर्टिफिकेट रिभोकेसन लिस्ट), तर यस विधिको बेफाइदा डाउनलोड गरिएको डाटाको धेरै ठूलो साइज हो - हाल रद्द गरिएका प्रमाणपत्रहरूको डाटाबेसले लगभग 300 MB ओगटेको छ र यसको वृद्धि जारी छ।

प्रमाणीकरण अधिकारीहरूद्वारा सम्झौता र खारेज गरिएका प्रमाणपत्रहरू ब्लक गर्न, फायरफक्सले 2015 देखि केन्द्रीकृत कालोसूची प्रयोग गरेको छ। OneCRL सेवाको लागि कलको संयोजनमा गुगल सुरक्षित ब्राउजिंग सम्भावित दुर्भावनापूर्ण गतिविधि पहिचान गर्न। OneCRL, जस्तै CRLSets क्रोममा, एक मध्यवर्ती लिङ्कको रूपमा कार्य गर्दछ जसले प्रमाणीकरण अधिकारीहरूबाट CRL सूचीहरू जम्मा गर्छ र रद्द गरिएका प्रमाणपत्रहरू जाँच गर्नको लागि एकल केन्द्रीकृत OCSP सेवा प्रदान गर्दछ, जसले प्रमाणीकरण अधिकारीहरूलाई सीधा अनुरोधहरू नपठाउन सम्भव बनाउँछ। अनलाइन प्रमाणपत्र प्रमाणिकरण सेवाको विश्वसनीयता सुधार गर्न धेरै कामको बाबजुद, टेलिमेट्री डेटाले OCSP को 7% भन्दा बढी अनुरोध समय समाप्त भएको देखाउँछ (केही वर्ष पहिले यो संख्या 15% थियो)।

पूर्वनिर्धारित रूपमा, यदि OCSP मार्फत प्रमाणित गर्न असम्भव छ भने, ब्राउजरले प्रमाणपत्रलाई मान्य मान्दछ। नेटवर्क समस्याहरू र आन्तरिक सञ्जालहरूमा प्रतिबन्धहरूको कारणले सेवा अनुपलब्ध हुन सक्छ, वा आक्रमणकारीहरू द्वारा अवरुद्ध हुन सक्छ - MITM आक्रमणको बेला OCSP चेकलाई बाइपास गर्न, केवल चेक सेवामा पहुँच ब्लक गर्नुहोस्। आंशिक रूपमा त्यस्ता आक्रमणहरू रोक्न, एक प्रविधि लागू गरिएको छ मस्ट-स्टेपल, जसले तपाईंलाई OCSP पहुँच त्रुटि वा OCSP अनुपलब्धतालाई प्रमाणपत्रमा समस्याको रूपमा व्यवहार गर्न अनुमति दिन्छ, तर यो सुविधा ऐच्छिक छ र प्रमाणपत्रको विशेष दर्ता आवश्यक छ।

CRLite ले तपाईंलाई सबै खारेज गरिएका प्रमाणपत्रहरूको बारेमा पूर्ण जानकारी सजिलै अद्यावधिक गरिएको संरचनामा जम्मा गर्न अनुमति दिन्छ, आकारमा मात्र 1 MB, जसले ग्राहक पक्षमा पूर्ण CRL डाटाबेस भण्डारण गर्न सम्भव बनाउँछ।
ब्राउजरले दैनिक खारेज गरिएका प्रमाणपत्रहरूको बारेमा डाटाको प्रतिलिपि सिङ्क्रोनाइज गर्न सक्षम हुनेछ, र यो डाटाबेस कुनै पनि अवस्थामा उपलब्ध हुनेछ।

CRLite बाट जानकारी संयोजन गर्दछ प्रमाणपत्र पारदर्शिता, सबै जारी गरिएका र रद्द गरिएका प्रमाणपत्रहरूको सार्वजनिक लग, र इन्टरनेटमा स्क्यानिङ प्रमाणपत्रहरूको नतिजा (प्रमाणीकरण अधिकारीहरूको विभिन्न CRL सूचीहरू सङ्कलन गरिन्छ र सबै ज्ञात प्रमाणपत्रहरूको बारेमा जानकारी एकत्रित गरिन्छ)। डाटा क्यास्केडिङ प्रयोग गरेर प्याकेज गरिएको छ ब्लूम फिल्टरहरू, एक सम्भाव्य संरचना जसले हराइरहेको तत्वको गलत पत्ता लगाउन अनुमति दिन्छ, तर अवस्थित तत्वको छुटाउनलाई समावेश गर्दैन (अर्थात्, एक निश्चित सम्भावनाको साथ, सही प्रमाणपत्रको लागि गलत सकारात्मक सम्भव छ, तर रद्द गरिएका प्रमाणपत्रहरू पहिचान हुने ग्यारेन्टी छन्)।

गलत सकारात्मकहरू हटाउन, CRLite ले थप सुधारात्मक फिल्टर स्तरहरू प्रस्तुत गरेको छ। संरचना उत्पन्न गरेपछि, सबै स्रोत रेकर्डहरू खोजी गरिन्छ र कुनै पनि गलत सकारात्मक पहिचान गरिन्छ। यस जाँचको नतिजाको आधारमा, एक अतिरिक्त संरचना सिर्जना गरिएको छ, जुन पहिलोमा क्यास्केड गरिएको छ र नतिजा झूटा सकारात्मकहरूलाई सच्याउँछ। नियन्त्रण जाँचको क्रममा झूटा सकारात्मकहरू पूर्ण रूपमा मेटिएसम्म सञ्चालन दोहोर्याइएको छ। सामान्यतया, 7-10 तहहरू सिर्जना गर्दा सबै डेटा पूर्ण रूपमा कभर गर्न पर्याप्त हुन्छ। डाटाबेसको अवस्था, आवधिक सिङ्क्रोनाइजेसनको कारणले गर्दा, CRL को हालको अवस्था भन्दा अलिकति पछाडी छ, CRLite डाटाबेसको अन्तिम अद्यावधिक पछि जारी गरिएका नयाँ प्रमाणपत्रहरूको जाँच OCSP प्रोटोकल प्रयोग गरी गरिन्छ। OCSP स्ट्यापलिंग (TLS जडान वार्ता गर्दा साइट सेवा गर्ने सर्भरद्वारा प्रमाणीकरण प्राधिकरणद्वारा प्रमाणित OCSP प्रतिक्रिया पठाइन्छ)।

ब्लूम फिल्टरहरू प्रयोग गरेर, WebPKI बाट जानकारीको डिसेम्बर टुक्रा, 100 मिलियन सक्रिय प्रमाणपत्रहरू र 750 हजार रद्द गरिएका प्रमाणपत्रहरू समावेश गर्दै, 1.3 MB आकारको संरचनामा प्याक गर्न सक्षम भयो। संरचना उत्पादन प्रक्रिया धेरै संसाधन-गहन छ, तर यो मोजिला सर्भरमा प्रदर्शन गरिन्छ र प्रयोगकर्तालाई तयार-निर्मित अपडेट दिइन्छ। उदाहरणका लागि, बाइनरी फारममा, उत्पादनको क्रममा प्रयोग गरिएको स्रोत डेटालाई Redis DBMS मा भण्डारण गर्दा लगभग 16 GB मेमोरी चाहिन्छ, र हेक्साडेसिमल फारममा, सबै प्रमाणपत्र सिरियल नम्बरहरूको डम्पले लगभग 6.7 GB लिन्छ। सबै खारेज गरिएका र सक्रिय प्रमाणपत्रहरू जम्मा गर्ने प्रक्रियाले लगभग 40 मिनेट लिन्छ, र ब्लुम फिल्टरमा आधारित प्याकेज गरिएको संरचना उत्पन्न गर्ने प्रक्रियाले अर्को 20 मिनेट लिन्छ।

मोजिलाले हाल यो सुनिश्चित गर्दछ कि CRLite डाटाबेस दिनको चार पटक अद्यावधिक गरिएको छ (सबै अद्यावधिकहरू ग्राहकहरूलाई डेलिभर गरिँदैन)। डेल्टा अद्यावधिकहरूको जेनेरेसन अझै लागू गरिएको छैन - bsdiff4 को प्रयोग, रिलीजको लागि डेल्टा अद्यावधिकहरू सिर्जना गर्न प्रयोग गरिन्छ, CRLite को लागि पर्याप्त दक्षता प्रदान गर्दैन र अद्यावधिकहरू अव्यावहारिक रूपमा ठूलो छन्। यस कमजोरीलाई हटाउनको लागि, अनावश्यक पुनर्निर्माण र तहहरू हटाउन भण्डारण संरचनाको ढाँचालाई पुन: कार्य गर्ने योजना बनाइएको छ।

CRLite हाल फायरफक्समा निष्क्रिय मोडमा काम गर्दछ र OCSP सँग समानान्तर रूपमा सही सञ्चालनको बारेमा तथ्याङ्क संकलन गर्न प्रयोग गरिन्छ। CRLite लाई मुख्य स्क्यान मोडमा स्विच गर्न सकिन्छ; यो गर्नको लागि, तपाईंले प्यारामिटर security.pki.crlite_mode = 2 को बारेमा: config मा सेट गर्न आवश्यक छ।

स्रोत: opennet.ru