{"id":55146,"date":"2020-01-13T00:00:00","date_gmt":"2020-01-12T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov"},"modified":"2020-02-18T14:03:13","modified_gmt":"2020-02-18T11:03:13","slug":"mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","title":{"rendered":"Mozilla wprowadza CRLite do weryfikacji problematycznych certyfikat\u00f3w TLS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Firma Mozilla og\u0142osi\u0142a<\/a><\/noindex> o rozpocz\u0119ciu testowania w nocnych wersjach Firefox nowego mechanizmu okre\u015blania listy odwo\u0142anych certyfikat\u00f3w \u2014 CRLite<\/a><\/noindex>. CRLite umo\u017cliwia efektywne sprawdzanie uniewa\u017cnienia certyfikat\u00f3w na podstawie bazy danych przechowywanej w systemie u\u017cytkownika. Realizacja CRLite rozwijana przez Mozill\u0119 opublikowane<\/a><\/noindex> jest dost\u0119pna na licencji MPL 2.0. Kod do generowania bazy danych oraz komponenty serwerowe s\u0105 napisane w Python<\/a><\/noindex> i Go. Klientskie cz\u0119\u015bci dodane do Firefoksa do odczytu danych z bazy danych przygotowano<\/a><\/noindex> s\u0105 napisane w j\u0119zyku Rust.<\/p>\n

Dotychczasowa weryfikacja certyfikat\u00f3w z wykorzystaniem zewn\u0119trznych us\u0142ug opartych na protokole OCSP<\/a><\/noindex> (Online Certificate Status Protocol) wymaga gwarantowanego dost\u0119pu do sieci, co powoduje zauwa\u017calne op\u00f3\u017anienie w przetwarzaniu \u017c\u0105dania (\u015brednio 350 ms) i ma problemy z zapewnieniem prywatno\u015bci (serwery OCSP odpowiadaj\u0105ce na zapytania otrzymuj\u0105 informacje o konkretnych certyfikatach, co pozwala oceni\u0107, jakie strony odwiedza u\u017cytkownik). Istnieje r\u00f3wnie\u017c mo\u017cliwo\u015b\u0107 lokalnej weryfikacji na podstawie list CRL<\/a><\/noindex> (Certificate Revocation List), ale wad\u0105 tej metody jest bardzo du\u017cy rozmiar pobieranych danych \u2014 obecnie baza danych odwo\u0142anych certyfikat\u00f3w zajmuje oko\u0142o 300 MB i jej wzrost trwa.<\/p>\n

Aby zablokowa\u0107 skompromitowane i uniewa\u017cnione certyfikaty wydawane przez centra certyfikacji, od 2015 roku w Firefoksie stosowany jest scentralizowany czarny wykaz OneCRL<\/a><\/noindex> w po\u0142\u0105czeniu z wykorzystaniem us\u0142ugi Google Safe Browsing<\/a><\/noindex> do identyfikacji potencjalnej z\u0142o\u015bliwej aktywno\u015bci. OneCRL, podobnie jak CRLSets<\/a><\/noindex> w Chrome, pe\u0142ni rol\u0119 po\u015bredni\u0105, kt\u00f3ra agreguje listy CRL od centr\u00f3w certyfikacji i zapewnia jednoczesn\u0105 scentralizowan\u0105 us\u0142ug\u0119 OCSP do sprawdzania uniewa\u017cnionych certyfikat\u00f3w, co pozwala na nie wysy\u0142anie zapyta\u0144 bezpo\u015brednio do centr\u00f3w certyfikacji. Mimo du\u017cego wysi\u0142ku w popraw\u0119 niezawodno\u015bci us\u0142ugi sprawdzania certyfikat\u00f3w online, dane telemetrii pokazuj\u0105, \u017ce ponad 7% zapyta\u0144 OCSP ko\u0144czy si\u0119 przekroczeniem czasu oczekiwania (kilka lat temu wska\u017anik ten wynosi\u0142 15%). <\/p>\n

Domy\u015blnie, w przypadku niemo\u017cno\u015bci przeprowadzenia weryfikacji przez OCSP, przegl\u0105darka uznaje certyfikat za poprawny. Us\u0142uga mo\u017ce by\u0107 niedost\u0119pna z powodu problem\u00f3w sieciowych i ogranicze\u0144 w sieciach wewn\u0119trznych, a tak\u017ce zablokowana przez atakuj\u0105cych \u2014 aby obej\u015b\u0107 weryfikacj\u0119 OCSP podczas ataku MITM wystarczy po prostu zablokowa\u0107 dost\u0119p do us\u0142ugi weryfikacji. Cz\u0119\u015bciowo w celu zapobie\u017cenia tego rodzaju atakom wdro\u017cono technik\u0119 Must-Staple<\/a><\/noindex>, kt\u00f3ra pozwala interpretowa\u0107 b\u0142\u0105d w dost\u0119pie do OCSP lub niedost\u0119pno\u015b\u0107 OCSP jako problem z certyfikatem, ale ta mo\u017cliwo\u015b\u0107 jest opcjonalna i wymaga specjalnego wydania certyfikatu. <\/p>\n

CRLite pozwala zebra\u0107 pe\u0142ne informacje o wszystkich odwo\u0142anych certyfikatach w \u0142atwo aktualizowanej strukturze, o wielko\u015bci zaledwie 1 MB, co umo\u017cliwia przechowywanie pe\u0142nej bazy CRL po stronie klienta.
\nPrzegl\u0105darka b\u0119dzie mog\u0142a codziennie synchronizowa\u0107 swoj\u0105 kopi\u0119 danych o odwo\u0142anych certyfikatach, a ta baza danych b\u0119dzie dost\u0119pna w ka\u017cdych warunkach. <\/p>\n

CRLite \u0142\u0105czy informacje z Certificate Transparency<\/a><\/noindex>, publicznego dziennika wszystkich wydanych i odwo\u0142anych certyfikat\u00f3w, oraz wynik\u00f3w skanowania certyfikat\u00f3w w Internecie (zbierane s\u0105 r\u00f3\u017cne listy CRL instytucji certyfikuj\u0105cych i agregowane informacje o wszystkich znanych certyfikatach). Dane s\u0105 pakowane z wykorzystaniem kaskadowych filtr\u00f3w Blooma<\/a><\/noindex>, probabilistycznej struktury, kt\u00f3ra dopuszcza fa\u0142szywe okre\u015blenie braku elementu, ale wyklucza pomini\u0119cie istniej\u0105cego elementu (tzn. z pewnym prawdopodobie\u0144stwem mo\u017ce wyst\u0105pi\u0107 fa\u0142szywe alarmowanie przy poprawnym certyfikacie, ale odwo\u0142ane certyfikaty b\u0119d\u0105 gwarantowanie wykrywane). <\/p>\n

Aby wykluczy\u0107 fa\u0142szywe alarmy w CRLite, wprowadzono dodatkowe poziomy korekcyjne. Po wygenerowaniu struktury nast\u0119puje przegl\u0105d wszystkich pierwotnych zapis\u00f3w i identyfikacja wyst\u0119puj\u0105cych fa\u0142szywych alarm\u00f3w. Na podstawie wynik\u00f3w tej kontroli tworzona jest dodatkowa struktura, kt\u00f3ra kaskadowo nak\u0142ada si\u0119 na pierwsz\u0105 i koryguje wyst\u0119puj\u0105ce fa\u0142szywe alarmy. Operacja ta jest powtarzana, a\u017c fa\u0142szywe alarmy w kontroli nie zostan\u0105 ca\u0142kowicie wykluczone. Zazwyczaj wystarcza stworzenie 7-10 warstw, aby pokry\u0107 wszystkie dane. Poniewa\u017c stan bazy danych z powodu okresowej synchronizacji nieco op\u00f3\u017ania si\u0119 w stosunku do aktualnego stanu CRL, kontrola nowych certyfikat\u00f3w, wydanych po ostatniej aktualizacji bazy danych CRLite, odbywa si\u0119 za pomoc\u0105 protoko\u0142u OCSP, w tym przy u\u017cyciu techniki OCSP Stapling<\/a><\/noindex> (zweryfikowana przez certyfikuj\u0105cy urz\u0105d odpowied\u017a OCSP jest przekazywana przez serwer obs\u0142uguj\u0105cy stron\u0119 podczas negocjacji po\u0142\u0105czenia TLS).<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

Dzi\u0119ki filtrom B\u0142uma, grudniowe zestawienie danych z WebPKI, obejmuj\u0105ce 100 milion\u00f3w aktywnych certyfikat\u00f3w i 750 tysi\u0119cy odwo\u0142anych certyfikat\u00f3w, uda\u0142o si\u0119 skompresowa\u0107 do struktury o rozmiarze 1,3 MB. Proces generowania struktury jest do\u015b\u0107 zasoboch\u0142onny, ale jest realizowany na serwerze Mozilla, a u\u017cytkownik otrzymuje ju\u017c gotow\u0105 aktualizacj\u0119. Na przyk\u0142ad w formie binarnej pierwotne dane u\u017cywane do generacji wymagaj\u0105 oko\u0142o 16 GB pami\u0119ci podczas przechowywania w bazie danych Redis, a w postaci szesnastkowej zrzut wszystkich numer\u00f3w seryjnych certyfikat\u00f3w zajmuje oko\u0142o 6,7 GB. Proces agregowania wszystkich odwo\u0142anych i aktywnych certyfikat\u00f3w zajmuje oko\u0142o 40 minut, a proces generowania skompresowanej struktury na podstawie filtru B\u0142uma wymaga jeszcze 20 minut.<\/p>\n

Obecnie w Mozilla zapewniane jest aktualizowanie bazy danych CRLite cztery razy dziennie (nie wszystkie aktualizacje s\u0105 dostarczane klientom). Generacja aktualizacji delta nie zosta\u0142a jeszcze wdro\u017cona \u2014 zastosowanie bsdiff4, u\u017cywanego do tworzenia aktualizacji delta z wyda\u0144, nie zapewnia odpowiedniej efektywno\u015bci dla CRLite, a aktualizacje s\u0105 nieuzasadnione du\u017ce. W celu rozwi\u0105zania tego problemu planowane jest przeprojektowanie formatu struktury przechowywania w celu wyeliminowania zb\u0119dnych przekszta\u0142ce\u0144 i usuni\u0119cia warstw.<\/p>\n

CRLite dzia\u0142a w Firefoxie w trybie pasywnym i jest u\u017cywany r\u00f3wnolegle z OCSP do gromadzenia statystyk na temat poprawno\u015bci dzia\u0142ania. CRLite mo\u017cna prze\u0142\u0105czy\u0107 na tryb g\u0142\u00f3wnego sprawdzania, w tym celu w about:config nale\u017cy ustawi\u0107 parametr security.pki.crlite_mode = 2.<\/p>\n

\"Mozilla<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

\u0179r\u00f3d\u0142o: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox \u043d\u043e\u0432\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043e\u0442\u043e\u0437\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 — CRLite. CRLite \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043e\u0442\u0437\u044b\u0432\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u043c\u043e\u0439 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u0432 Mozilla \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f CRLite \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u043f\u043e\u0434 \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0439 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 MPL 2.0. \u041a\u043e\u0434 \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0411\u0414 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Python \u0438 Go. \u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55146","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla wdra\u017ca CRLite do weryfikacji problematycznych certyfikat\u00f3w TLS | ProHoster","description":"Firma Mozilla og\u0142osi\u0142a rozpocz\u0119cie test\u00f3w w nocnych wersjach Firefoksa.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 CRLite \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043d\u044b\u0445 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-12T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55146","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:50:02","updated":"2022-10-10 06:24:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/55146","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=55146"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/55146\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=55146"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=55146"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=55146"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}