{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (inspekcja SSL) jest sprzeczne z istot\u0105 kryptografii, ale firmy j\u0105 wdra\u017caj\u0105","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nChain of Trust. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

Inspekcja ruchu SSL (deszyfrowanie SSL\/TLS, analiza SSL lub DPI) staje si\u0119 coraz bardziej gor\u0105cym tematem w sektorze korporacyjnym. Pomys\u0142 deszyfrowania ruchu wydaje si\u0119 sprzeczny z sam\u0105 koncepcj\u0105 kryptografii. Jednak faktem jest, \u017ce coraz wi\u0119cej firm korzysta z technologii DPI, t\u0142umacz\u0105c to potrzeb\u0105 weryfikacji tre\u015bci pod k\u0105tem z\u0142o\u015bliwego oprogramowania, wyciek\u00f3w danych itp.<\/p>\n

C\u00f3\u017c, je\u015bli przyjmiemy jako fakt, \u017ce taka technologia musi by\u0107 wdro\u017cona, warto przynajmniej rozwa\u017cy\u0107 sposoby jej realizacji w mo\u017cliwie najbezpieczniejszy i najlepiej zarz\u0105dzany spos\u00f3b. Przynajmniej nie powinno si\u0119 polega\u0107 na certyfikatach, kt\u00f3re na przyk\u0142ad dostarcza dostawca systemu DPI.<\/p>\n

Jest jeden aspekt wdro\u017cenia, o kt\u00f3rym nie wszyscy wiedz\u0105. W rzeczywisto\u015bci wielu naprawd\u0119 jest zaskoczonych, gdy o tym s\u0142yszy. To prywatne centrum certyfikacji (CA). Generuje ono certyfikaty do deszyfrowania i ponownego szyfrowania ruchu.
\n<\/a><\/noindex>
\nZamiast polega\u0107 na certyfikatach samopodpisanych lub certyfikatach z urz\u0105dze\u0144 DPI, mo\u017cna u\u017cy\u0107 dedykowanego CA od zewn\u0119trznego centrum certyfikacji, takiego jak GlobalSign. Ale najpierw zr\u00f3bmy kr\u00f3tkie wprowadzenie do samego problemu.<\/p>\n

Czym jest inspekcja SSL i dlaczego jest stosowana?<\/h2>\n

\nCoraz wi\u0119cej publicznych stron internetowych przechodzi na HTTPS. Na przyk\u0142ad, wed\u0142ug statystyk Chrome<\/a><\/noindex>, na pocz\u0105tku wrze\u015bnia 2019 roku udzia\u0142 zaszyfrowanego ruchu w Rosji osi\u0105gn\u0105\u0142 83%.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

\u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0432\u0441\u0451 \u0447\u0430\u0449\u0435 \u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438, \u0442\u0435\u043c \u0431\u043e\u043b\u0435\u0435 \u0447\u0442\u043e Let’s Encrypt \u0442\u044b\u0441\u044f\u0447\u0430\u043c\u0438 \u0440\u0430\u0437\u0434\u0430\u0451\u0442 \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u044b\u0435 SSL-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0432 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435. \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, HTTPS \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u043e\u0432\u0441\u0435\u043c\u0435\u0441\u0442\u043d\u043e \u2014 \u0438 \u0437\u0430\u043c\u043e\u0447\u0435\u043a \u0432 \u0430\u0434\u0440\u0435\u0441\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043b \u0441\u043b\u0443\u0436\u0438\u0442\u044c \u043d\u0430\u0434\u0451\u0436\u043d\u044b\u043c \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438.<\/p>\n

Z tych perspektyw producenci rozwi\u0105za\u0144 DPI promuj\u0105 swoje produkty. Wdra\u017caj\u0105 si\u0119 pomi\u0119dzy ko\u0144cowymi u\u017cytkownikami (tj. twoimi pracownikami przegl\u0105daj\u0105cymi strony internetowe) a internetem, filtruj\u0105c z\u0142o\u015bliwy ruch. Obecnie na rynku istnieje szereg takich produkt\u00f3w, ale procesy s\u0105 w zasadzie identyczne. Ruch HTTPS przechodzi przez urz\u0105dzenie kontroli, gdzie jest deszyfrowany i sprawdzany pod k\u0105tem z\u0142o\u015bliwego oprogramowania.<\/p>\n

Po zako\u0144czeniu weryfikacji urz\u0105dzenie tworzy now\u0105 sesj\u0119 SSL z ko\u0144cowym klientem, aby odszyfrowa\u0107 i ponownie zaszyfrowa\u0107 tre\u015b\u0107.<\/p>\n

Jak dzia\u0142a proces odszyfrowania\/ponownego szyfrowania<\/h2>\n

\nAby urz\u0105dzenie SSL-inspekcji mog\u0142o odszyfrowa\u0107 i ponownie zaszyfrowa\u0107 pakiety przed wys\u0142aniem do ko\u0144cowych u\u017cytkownik\u00f3w, musi by\u0107 w stanie wydawa\u0107 certyfikaty SSL w locie. Oznacza to, \u017ce musi mie\u0107 zainstalowany certyfikat CA.<\/p>\n

Dla firmy (lub innej osoby po\u015brednicz\u0105cej) wa\u017cne jest, aby te certyfikaty SSL by\u0142y zaufane w przegl\u0105darkach (tj. nie wywo\u0142ywa\u0142y przera\u017caj\u0105cych komunikat\u00f3w ostrzegawczych, podobnych do przedstawionego poni\u017cej). Dlatego \u0142a\u0144cuch CA (lub hierarchia) musi znajdowa\u0107 si\u0119 w magazynie zaufania przegl\u0105darki. Poniewa\u017c te certyfikaty nie s\u0105 wydawane przez publiczne zaufane centra certyfikacji, konieczne jest r\u0119czne przekazanie hierarchii CA wszystkim ko\u0144cowym klientom.<\/p>\n

\"DPI
\nKomunikat ostrzegawczy dla certyfikatu samopodpisanego w Chrome. \u0179r\u00f3d\u0142o: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

Na komputerach z systemem Windows mo\u017cna wykorzysta\u0107 Active Directory i zasady grupowe, ale dla urz\u0105dze\u0144 mobilnych procedura jest bardziej z\u0142o\u017cona.<\/p>\n

Sytuacja jeszcze bardziej komplikuje si\u0119, je\u015bli konieczne jest wsparcie dla innych certyfikat\u00f3w g\u0142\u00f3wnych w \u015brodowisku korporacyjnym, na przyk\u0142ad od Microsoft lub opartych na OpenSSL. Dodatkowo ochrona kluczy prywatnych i ich zarz\u0105dzanie, aby \u017caden z kluczy nie wygas\u0142 niespodziewanie.<\/p>\n

Najlepsza opcja: prywatny, dedykowany certyfikat g\u0142\u00f3wny od zewn\u0119trznego CA.<\/h2>\n

\nJe\u015bli zarz\u0105dzanie kilkoma rootami lub certyfikaty samopodpisane nie s\u0105 atrakcyjne, istnieje inna opcja: mo\u017cna polega\u0107 na zewn\u0119trznym CA. W tym przypadku certyfikaty s\u0105 wydawane z prywatnego<\/b> centrum certyfikacji, kt\u00f3re jest powi\u0105zane w \u0142a\u0144cuchu zaufania z dedykowanym, prywatnym centrum certyfikacji, stworzonym specjalnie dla firmy.<\/p>\n

\"DPI<\/a><\/noindex>
\nUproszczona architektura dla dedykowanych certyfikat\u00f3w g\u0142\u00f3wnych klient\u00f3w.<\/i><\/p>\n

Taka konfiguracja eliminuje niekt\u00f3re wcze\u015bniej wspomniane problemy: przynajmniej zmniejsza liczb\u0119 korzeni, kt\u00f3rymi trzeba zarz\u0105dza\u0107. Mo\u017cna tutaj u\u017cywa\u0107 tylko jednego prywatnego centrum certyfikacji dla wszystkich wewn\u0119trznych potrzeb PKI z dowoln\u0105 liczb\u0105 po\u015brednich centr\u00f3w certyfikacji. Na przyk\u0142ad, na powy\u017cszej ilustracji przedstawiona jest hierarchia wielowarstwowa, w kt\u00f3rej jedno z po\u015brednich centr\u00f3w certyfikacji jest u\u017cywane do weryfikacji\/dekodowania SSL, a drugie \u2014 do komputer\u00f3w wewn\u0119trznych (laptop\u00f3w, serwer\u00f3w, komputer\u00f3w stacjonarnych itp.).<\/p>\n

W tym schemacie nie ma potrzeby umieszczania CA na wszystkich klientach, poniewa\u017c CA najwy\u017cszego poziomu znajduje si\u0119 u GlobalSign, co rozwi\u0105zuje problemy z ochron\u0105 klucza prywatnego i terminem wa\u017cno\u015bci.<\/p>\n

Kolejn\u0105 zalet\u0105 tego podej\u015bcia jest mo\u017cliwo\u015b\u0107 uniewa\u017cnienia certyfikatu SSL z jakiegokolwiek powodu. Zamiast tego po prostu tworzy si\u0119 nowy, kt\u00f3ry zwi\u0105zany jest z Twoim pierwotnym prywatnym korzeniem i mo\u017cna go u\u017cywa\u0107 natychmiast.<\/p>\n

Pomimo wszystkich kontrowersji, przedsi\u0119biorstwa coraz cz\u0119\u015bciej wdra\u017caj\u0105 inspekcj\u0119 SSL w ruchu jako cz\u0119\u015b\u0107 wewn\u0119trznej lub prywatnej infrastruktury PKI. Inne zastosowania prywatnej PKI to wydawanie certyfikat\u00f3w do uwierzytelniania urz\u0105dze\u0144 lub u\u017cytkownik\u00f3w, SSL dla wewn\u0119trznych serwer\u00f3w, a tak\u017ce r\u00f3\u017cne konfiguracje, kt\u00f3re nie s\u0105 dozwolone w publicznych zaufanych certyfikatach zgodnie z wymogami CA\/Browser Forum.<\/p>\n

Przegl\u0105darki si\u0119 temu sprzeciwiaj\u0105<\/h2>\n

\nNale\u017cy zauwa\u017cy\u0107, \u017ce deweloperzy przegl\u0105darek staraj\u0105 si\u0119 przeciwstawia\u0107 tej tendencji i chroni\u0107 u\u017cytkownik\u00f3w ko\u0144cowych przed MiTM. Na przyk\u0142ad, kilka dni temu Mozilla podj\u0119\u0142a decyzj\u0119<\/a><\/noindex> zaplanuje w\u0142\u0105czy\u0107 protok\u00f3\u0142 DoH (DNS-over-HTTPS) domy\u015blnie w jednej z przysz\u0142ych wersji przegl\u0105darki Firefox. Protok\u00f3\u0142 DoH ukrywa zapytania DNS przed systemami DPI, co utrudnia inspekcj\u0119 SSL.<\/p>\n

O podobnych planach 10 wrze\u015bnia 2019 roku og\u0142osi\u0142a<\/a><\/noindex> firma Google dla przegl\u0105darki Chrome.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Tylko zarejestrowani u\u017cytkownicy mog\u0105 bra\u0107 udzia\u0142 w ankiecie. Zaloguj si\u0119<\/a><\/noindex>, prosz\u0119.<\/p>\n

Co s\u0105dzisz, czy firma ma prawo do inspekcji SSL ruchu swoich pracownik\u00f3w?<\/h2>\n