{"id":55146,"date":"2020-01-13T00:00:00","date_gmt":"2020-01-12T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov"},"modified":"2020-02-18T14:03:13","modified_gmt":"2020-02-18T11:03:13","slug":"mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","title":{"rendered":"A Mozilla implementa o CRLite para verificar certificados TLS problem\u00e1ticos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A empresa Mozilla anunciou<\/a><\/noindex> sobre o in\u00edcio dos testes nas compila\u00e7\u00f5es noturnas do Firefox do novo mecanismo de determina\u00e7\u00e3o de certificados revogados \u2014 CRLite<\/a><\/noindex>. O CRLite permite organizar uma verifica\u00e7\u00e3o eficaz dos certificados revogados usando uma base de dados hospedada no sistema do usu\u00e1rio. A implementa\u00e7\u00e3o do CRLite desenvolvida na Mozilla foi publicado<\/a><\/noindex> \u00e9 de c\u00f3digo aberto sob a licen\u00e7a MPL 2.0. O c\u00f3digo para gerar a base de dados e os componentes do servidor foram escritos em Python<\/a><\/noindex> e Go. As partes do cliente adicionadas ao Firefox para leitura de dados da base de dados foram preparados<\/a><\/noindex> s\u00e3o escritas em Rust.<\/p>\n

A verifica\u00e7\u00e3o de certificados ainda utilizada, com a ajuda de servi\u00e7os externos com base no protocolo OCSP<\/a><\/noindex> (Online Certificate Status Protocol), requer acesso de rede garantido, resulta em um atraso percept\u00edvel no processamento da solicita\u00e7\u00e3o (em m\u00e9dia 350 ms) e apresenta problemas de privacidade (os servidores que respondem \u00e0s solicita\u00e7\u00f5es OCSP recebem informa\u00e7\u00f5es sobre certificados espec\u00edficos, permitindo inferir quais sites o usu\u00e1rio est\u00e1 acessando). Tamb\u00e9m existe a possibilidade de verifica\u00e7\u00e3o local utilizando listas CRL<\/a><\/noindex> (Certificate Revocation List), mas a desvantagem desse m\u00e9todo \u00e9 o tamanho muito grande dos dados baixados \u2014 atualmente, o banco de dados de certificados revogados ocupa cerca de 300 MB e seu crescimento continua.<\/p>\n

Para bloquear certificados comprometidos e revogados por autoridades certificadoras, o Firefox usa uma lista negra centralizada desde 2015 OneCRL<\/a><\/noindex> em conjunto com o servi\u00e7o Google Safe Browsing<\/a><\/noindex> para detectar poss\u00edveis atividades maliciosas. O OneCRL, assim como CRLSets<\/a><\/noindex> no Chrome, atua como um intermedi\u00e1rio que agrega listas CRL de autoridades certificadoras e fornece um servi\u00e7o OCSP centralizado para verificar certificados revogados, possibilitando que n\u00e3o sejam enviadas solicita\u00e7\u00f5es diretamente para as autoridades certificadoras. Apesar do grande trabalho para aumentar a confiabilidade do servi\u00e7o de verifica\u00e7\u00e3o online de certificados, dados de telemetria mostram que mais de 7% das solicita\u00e7\u00f5es OCSP terminam em timeout (alguns anos atr\u00e1s, essa taxa era de 15%). <\/p>\n

Por padr\u00e3o, em caso de impossibilidade de verificar atrav\u00e9s do OCSP, o navegador considera o certificado v\u00e1lido. O servi\u00e7o pode estar indispon\u00edvel devido a problemas de rede e restri\u00e7\u00f5es em redes internas, ou pode ser bloqueado por atacantes \u2014 para contornar a verifica\u00e7\u00e3o OCSP durante um ataque MITM, basta bloquear o acesso ao servi\u00e7o de verifica\u00e7\u00e3o. Em parte, para prevenir tais ataques, foi implementada a t\u00e9cnica Must-Staple<\/a><\/noindex>, permitindo interpretar um erro de solicita\u00e7\u00e3o ao OCSP ou a indisponibilidade do OCSP como um problema com o certificado, mas essa possibilidade \u00e9 opcional e requer um tipo especial de certificado. <\/p>\n

O CRLite permite compilar informa\u00e7\u00f5es completas sobre todos os certificados revogados em uma estrutura facilmente atualiz\u00e1vel, com apenas 1 MB, possibilitando armazenar todo o banco de dados de CRL no lado do cliente.
\nO navegador poder\u00e1 sincronizar diariamente sua c\u00f3pia dos dados dos certificados revogados, e esse banco de dados estar\u00e1 dispon\u00edvel sob quaisquer condi\u00e7\u00f5es. <\/p>\n

O CRLite combina informa\u00e7\u00f5es de Certificate Transparency<\/a><\/noindex>, um log p\u00fablico de todos os certificados emitidos e revogados, e os resultados da varredura de certificados na internet (s\u00e3o coletadas diferentes listas CRL de autoridades certificadoras e \u00e9 agregada informa\u00e7\u00e3o sobre todos os certificados conhecidos). Os dados s\u00e3o compactados usando estruturas cascata.<\/a><\/noindex>, de probabilidade que permitem a falsa identifica\u00e7\u00e3o de elementos ausentes, mas excluem a omiss\u00e3o de elementos existentes (ou seja, com uma certa probabilidade, pode haver um falso positivo para um certificado v\u00e1lido, mas os certificados revogados ser\u00e3o garantidamente identificados). <\/p>\n

Para eliminar falsos positivos no CRLite, foram introduzidos n\u00edveis de corre\u00e7\u00e3o adicionais de filtragem. Ap\u00f3s a gera\u00e7\u00e3o da estrutura, ocorre uma varredura de todos os registros originais para identificar os falsos positivos. Com base nos resultados dessa verifica\u00e7\u00e3o, \u00e9 criada uma estrutura adicional que se sobrep\u00f5e \u00e0 primeira e corrige os falsos positivos. A opera\u00e7\u00e3o \u00e9 repetida at\u00e9 que os falsos positivos sejam completamente eliminados na verifica\u00e7\u00e3o de controle. Normalmente, para cobrir todos os dados, \u00e9 suficiente criar de 7 a 10 camadas. Como o estado do banco de dados, devido \u00e0 sincroniza\u00e7\u00e3o peri\u00f3dica, fica um pouco defasado em rela\u00e7\u00e3o ao estado atual do CRL, a verifica\u00e7\u00e3o de novos certificados emitidos ap\u00f3s a \u00faltima atualiza\u00e7\u00e3o do banco de dados CRLite \u00e9 realizada atrav\u00e9s do protocolo OCSP, incluindo t\u00e9cnicas de OCSP Stapling<\/a><\/noindex> (a resposta OCSP autenticada pelo centro certificador \u00e9 transmitida pelo servidor que atende o site durante o estabelecimento da conex\u00e3o TLS).<\/p>\n

\"A<\/a><\/noindex><\/center><\/p>\n

Com o uso de filtros de Bloom, o corte de informa\u00e7\u00f5es de dezembro do WebPKI, cobrindo 100 milh\u00f5es de certificados ativos e 750 mil certificados revogados, foi compactado em uma estrutura de 1,3 MB. O processo de gera\u00e7\u00e3o da estrutura \u00e9 bastante intensivo em recursos, mas \u00e9 realizado no servidor da Mozilla, e o usu\u00e1rio recebe uma atualiza\u00e7\u00e3o pronta. Por exemplo, em forma bin\u00e1ria, os dados usados na gera\u00e7\u00e3o requerem cerca de 16 GB de mem\u00f3ria quando armazenados no banco de dados Redis, e em forma hexadecimal, o dump de todos os n\u00fameros de s\u00e9rie dos certificados ocupa cerca de 6,7 GB. O processo de agrega\u00e7\u00e3o de todos os certificados revogados e ativos leva cerca de 40 minutos, enquanto o processo de gera\u00e7\u00e3o da estrutura compactada baseada no filtro de Bloom leva mais 20 minutos.<\/p>\n

Atualmente, a Mozilla fornece atualiza\u00e7\u00f5es do banco de dados CRLite quatro vezes ao dia (nem todas as atualiza\u00e7\u00f5es s\u00e3o entregues aos clientes). A gera\u00e7\u00e3o de atualiza\u00e7\u00f5es delta ainda n\u00e3o foi implementada \u2014 a aplica\u00e7\u00e3o do bsdiff4, usado para criar atualiza\u00e7\u00f5es delta de lan\u00e7amentos, n\u00e3o garante a efici\u00eancia necess\u00e1ria para o CRLite e as atualiza\u00e7\u00f5es se tornam injustificadamente grandes. Para eliminar essa desvantagem, est\u00e1 planejada a reformula\u00e7\u00e3o do formato da estrutura de armazenamento para evitar reestrutura\u00e7\u00f5es desnecess\u00e1rias e a remo\u00e7\u00e3o de camadas.<\/p>\n

O CRLite atualmente funciona no Firefox em modo passivo e \u00e9 utilizado em paralelo com o OCSP para coletar estat\u00edsticas sobre a precis\u00e3o do funcionamento. O CRLite pode ser alterado para o modo de verifica\u00e7\u00e3o principal, para isso, \u00e9 necess\u00e1rio definir o par\u00e2metro security.pki.crlite_mode = 2 em about:config.<\/p>\n

\"A<\/a><\/noindex><\/center><\/p>\n

<\/a><\/noindex><\/p>\n

Fonte: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox \u043d\u043e\u0432\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043e\u0442\u043e\u0437\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 — CRLite. CRLite \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043e\u0442\u0437\u044b\u0432\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445, \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u043c\u043e\u0439 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u0432 Mozilla \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f CRLite \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u043f\u043e\u0434 \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e\u0439 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 MPL 2.0. \u041a\u043e\u0434 \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0411\u0414 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Python \u0438 Go. \u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-55146","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mozilla implementa CRLite para verificar certificados TLS problem\u00e1ticos | ProHoster","description":"A empresa Mozilla anunciou o in\u00edcio dos testes em builds noturnas do Firefox.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Mozilla \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 CRLite \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043d\u044b\u0445 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Mozilla \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043d\u043e\u0447\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Firefox.","og:url":"https:\/\/prohoster.info\/pt\/blog\/news\/mozilla-vnedryaet-crlite-dlya-proverki-problemnyh-tls-sertifikatov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-12T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55146","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:50:02","updated":"2022-10-10 06:24:37","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/55146","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=55146"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/55146\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=55146"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=55146"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=55146"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}