{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (Inspe\u00e7\u00e3o SSL) contradiz o prop\u00f3sito da criptografia, mas as empresas a implementam.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nCadeia de confian\u00e7a. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

A inspe\u00e7\u00e3o de tr\u00e1fego SSL (descriptografia SSL\/TLS, an\u00e1lise SSL ou DPI) est\u00e1 se tornando um tema cada vez mais debatido no setor corporativo. A ideia de descriptografar o tr\u00e1fego aparentemente contradiz o pr\u00f3prio conceito de criptografia. No entanto, \u00e9 um fato: cada vez mais empresas utilizam tecnologias DPI, justificando isso como necess\u00e1ria para a verifica\u00e7\u00e3o de conte\u00fado em busca de malwares, vazamentos de dados, etc.<\/p>\n

Bem, se aceitarmos como um fato que \u00e9 necess\u00e1rio implementar essa tecnologia, devemos pelo menos considerar maneiras de faz\u00ea-lo de forma mais segura e controlada. Pelo menos, n\u00e3o devemos confiar, por exemplo, nos certificados que o fornecedor do sistema DPI fornece a voc\u00ea.<\/p>\n

H\u00e1 um aspecto da implementa\u00e7\u00e3o que nem todos conhecem. Na verdade, muitos ficam realmente surpresos ao ouvir sobre isso. Trata-se de uma autoridade certificadora privada (CA). Ela gera certificados para a descriptografia e recriptografia do tr\u00e1fego.
\n<\/a><\/noindex>
\nEm vez de confiar em certificados autoassinados ou certificados de dispositivos DPI, voc\u00ea pode usar uma CA dedicada de uma autoridade certificadora externa, como a GlobalSign. Mas primeiro, vamos fazer um pequeno resumo do pr\u00f3prio problema.<\/p>\n

O que \u00e9 a inspe\u00e7\u00e3o SSL e por que ela \u00e9 utilizada?<\/h2>\n

\nCada vez mais sites p\u00fablicos est\u00e3o migrando para HTTPS. Por exemplo, segundo estat\u00edsticas do Chrome<\/a><\/noindex>, no in\u00edcio de setembro de 2019, a propor\u00e7\u00e3o de tr\u00e1fego criptografado na R\u00fassia alcan\u00e7ou 83%.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Infelizmente, a criptografia de tr\u00e1fego \u00e9 cada vez mais utilizada tamb\u00e9m por criminosos, especialmente porque o Let's Encrypt distribui milhares de certificados SSL gratuitos de forma automatizada. Assim, o HTTPS est\u00e1 sendo amplamente utilizado \u2014 e o \u00edcone de cadeado na barra de endere\u00e7os do navegador deixou de ser um indicador confi\u00e1vel de seguran\u00e7a.<\/p>\n

\u00c9 a partir dessas posi\u00e7\u00f5es que os fabricantes de solu\u00e7\u00f5es DPI promovem seus produtos. Eles s\u00e3o implementados entre os usu\u00e1rios finais (ou seja, seus funcion\u00e1rios, que est\u00e3o navegando na web) e a Internet, filtrando o tr\u00e1fego malicioso. Atualmente, existem uma s\u00e9rie de produtos no mercado, mas os processos s\u00e3o essencialmente os mesmos. O tr\u00e1fego HTTPS passa por um dispositivo de verifica\u00e7\u00e3o, onde \u00e9 descriptografado e verificado em busca de malware.<\/p>\n

Ap\u00f3s a conclus\u00e3o da verifica\u00e7\u00e3o, o dispositivo cria uma nova sess\u00e3o SSL com o cliente final para descriptografar e reencriptar o conte\u00fado.<\/p>\n

Como funciona o processo de descriptografia\/reencripta\u00e7\u00e3o<\/h2>\n

\nPara que o dispositivo de inspe\u00e7\u00e3o SSL possa descriptografar e reencriptar pacotes antes de envi\u00e1-los para os usu\u00e1rios finais, ele deve ser capaz de emitir os certificados SSL em tempo real. Isso significa que ele deve ter um certificado de autoridade certificadora (CA) instalado.<\/p>\n

Para a empresa (ou outra pessoa intermedi\u00e1ria), \u00e9 importante que esses certificados SSL sejam confi\u00e1veis nos navegadores (ou seja, n\u00e3o apresentem mensagens de aviso assustadoras, como a mostrada abaixo). Portanto, a cadeia de autoridade certificadora (ou hierarquia) deve estar no armazenamento de confian\u00e7a do navegador. Como esses certificados n\u00e3o s\u00e3o emitidos por autoridades certificadoras confi\u00e1veis p\u00fablicas, \u00e9 necess\u00e1rio passar manualmente as hierarquias de CA para todos os clientes finais.<\/p>\n

\"DPI
\nMensagem de aviso para certificado autoassinado no Chrome. Fonte: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

Em computadores com Windows, \u00e9 poss\u00edvel utilizar o Active Directory e pol\u00edticas de grupo, mas para dispositivos m\u00f3veis o processo \u00e9 mais complicado.<\/p>\n

A situa\u00e7\u00e3o torna-se ainda mais complicada se for necess\u00e1rio manter outros certificados raiz em um ambiente corporativo, como os da Microsoft ou baseados em OpenSSL. Al\u00e9m disso, \u00e9 necess\u00e1rio garantir a prote\u00e7\u00e3o e gest\u00e3o de chaves secretas, para que nenhuma das chaves expire inesperadamente.<\/p>\n

A melhor op\u00e7\u00e3o: um certificado raiz privado e dedicado de uma autoridade certificadora externa.<\/h2>\n

\nSe o gerenciamento de v\u00e1rias ra\u00edzes ou certificados autoassinados n\u00e3o for atraente, h\u00e1 uma outra op\u00e7\u00e3o: confiar em uma autoridade certificadora externa. Neste caso, os certificados s\u00e3o emitidos a partir de privada<\/b> de uma autoridade certificadora que est\u00e1 vinculada na cadeia de confian\u00e7a a um centro de certifica\u00e7\u00e3o raiz dedicado e privado, criado especificamente para a empresa.<\/p>\n

\"DPI<\/a><\/noindex>
\nArquitetura simplificada para certificados raiz dedicados para clientes.<\/i><\/p>\n

Esta configura\u00e7\u00e3o elimina alguns dos problemas mencionados anteriormente: ao menos reduz o n\u00famero de ra\u00edzes a serem gerenciadas. Aqui, pode-se usar um \u00fanico centro de raiz privado para todas as necessidades internas de PKI, com qualquer n\u00famero de centros de certifica\u00e7\u00e3o intermedi\u00e1rios. Por exemplo, no diagrama acima, \u00e9 mostrada uma hierarquia em m\u00faltiplos n\u00edveis, onde um dos centros de certifica\u00e7\u00e3o intermedi\u00e1rios \u00e9 usado para a verifica\u00e7\u00e3o\/evidencia\u00e7\u00e3o de SSL, enquanto outro \u00e9 para computadores internos (notebooks, servidores, desktops, etc.).<\/p>\n

Neste esquema, n\u00e3o \u00e9 necess\u00e1rio ter CA em todos os clientes, pois a CA de n\u00edvel superior \u00e9 hospedada na GlobalSign, o que resolve problemas relacionados \u00e0 prote\u00e7\u00e3o da chave privada e \u00e0 sua validade.<\/p>\n

Outra vantagem dessa abordagem \u00e9 a capacidade de revogar o certificado SSL de inspe\u00e7\u00e3o por qualquer motivo. Em vez disso, simplesmente cria-se um novo, que \u00e9 vinculado \u00e0 sua raiz privada original, e pode ser usado imediatamente.<\/p>\n

Apesar de todas as controv\u00e9rsias, as empresas est\u00e3o cada vez mais adotando a inspe\u00e7\u00e3o de tr\u00e1fego SSL como parte de sua infraestrutura interna ou privada de PKI. Outras aplica\u00e7\u00f5es da PKI privada incluem a emiss\u00e3o de certificados para autentica\u00e7\u00e3o de dispositivos ou usu\u00e1rios, SSL para servidores internos e v\u00e1rias configura\u00e7\u00f5es que n\u00e3o s\u00e3o permitidas em certificados p\u00fablicos confi\u00e1veis de acordo com os requisitos do CA\/Browser Forum.<\/p>\n

Os navegadores est\u00e3o resistindo<\/h2>\n

\nVale ressaltar que os desenvolvedores de navegadores est\u00e3o tentando combater essa tend\u00eancia e proteger os usu\u00e1rios finais contra MiTM. Por exemplo, h\u00e1 alguns dias, a Mozilla tomou uma decis\u00e3o<\/a><\/noindex> planejou habilitar por padr\u00e3o o protocolo DoH (DNS-over-HTTPS) em uma das pr\u00f3ximas vers\u00f5es do navegador Firefox. O protocolo DoH oculta as consultas DNS do sistema DPI, dificultando a inspe\u00e7\u00e3o de SSL.<\/p>\n

Sobre planos semelhantes, em 10 de setembro de 2019, anunciou<\/a><\/noindex> a Google para o navegador Chrome.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Apenas usu\u00e1rios registrados podem participar da pesquisa. Entre<\/a><\/noindex>, por favor.<\/p>\n

Voc\u00ea acha que a empresa tem o direito de inspecionar o tr\u00e1fego SSL de seus funcion\u00e1rios?<\/h2>\n