{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (inspec\u021bia SSL) contravine sensului criptografiei, dar companiile o implementeaz\u0103","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nChain of trust. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

SSL traffic inspection (SSL\/TLS decryption, SSL analysis or DPI) is becoming an increasingly hot topic of discussion in the corporate sector. The idea of decrypting traffic seems to contradict the very concept of cryptography. However, the fact is that more and more companies are using DPI technologies, justifying it by the need to inspect content for malware, data leaks, etc.<\/p>\n

Well, if we accept as a fact that such technology needs to be implemented, we should at least consider ways to do this in the safest and most managed way possible. At least not to rely on those certificates, for example, that your DPI system provider gives you.<\/p>\n

There is one implementation aspect that not everyone knows about. In fact, many are genuinely surprised when they hear about it. It is a private certification authority (CA). It generates certificates for decrypting and re-encrypting traffic.
\n<\/a><\/noindex>
\nInstead of relying on self-signed certificates or certificates from DPI devices, you can use a dedicated CA from a third-party certification authority, such as GlobalSign. But first, let's take a brief look at the problem itself.<\/p>\n

What is SSL inspection and why is it used?<\/h2>\n

\nMore and more public websites are switching to HTTPS. For example, according to Chrome statistics<\/a><\/noindex>, by early September 2019, the share of encrypted traffic in Russia reached 83%.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Din p\u0103cate, criptarea traficului este folosit\u0103 din ce \u00een ce mai des \u0219i de infractori, mai ales c\u0103 Let’s Encrypt ofer\u0103 gratuit mii de certificate SSL \u00eentr-un mod automatizat. Astfel, HTTPS este utilizat pe scar\u0103 larg\u0103 \u2014 iar lac\u0103tul din bara de adrese a browserului nu mai este un indicator de siguran\u021b\u0103 fiabil.<\/p>\n

From these positions, DPI solution manufacturers promote their products. They are deployed between end users (i.e., your employees browsing web pages) and the Internet, filtering out malicious traffic. Nowadays, there are a number of such products on the market, but the processes are essentially the same. HTTPS traffic passes through a checking device, where it is decrypted and scanned for malware.<\/p>\n

Dup\u0103 finalizarea verific\u0103rii, dispozitivul creeaz\u0103 o nou\u0103 sesiune SSL cu clientul final pentru decriptarea \u0219i criptarea din nou a con\u021binutului.<\/p>\n

Cum func\u021bioneaz\u0103 procesul de decriptare\/criptare din nou<\/h2>\n

\nPentru ca dispozitivul de inspectare SSL s\u0103 decripteze \u0219i s\u0103 cripteze din nou pachetele \u00eenainte de a le trimite utilizatorilor finali, acesta trebuie s\u0103 fie capabil s\u0103 emit\u0103 certificate SSL \u00een timp real. Aceasta \u00eenseamn\u0103 c\u0103 pe el trebuie s\u0103 fie instalat un certificat de autoritate de certificare.<\/p>\n

Pentru o companie (sau altcineva din mijloc), este important ca aceste certificate SSL s\u0103 fie de \u00eencredere \u00een browsere (adic\u0103 s\u0103 nu genereze mesaje de avertizare alarmante, precum cel de mai jos). Prin urmare, lan\u021bul de autoritate de certificare (sau ierarhia) trebuie s\u0103 fie \u00een depozitul de \u00eencredere al browserului. Deoarece aceste certificate nu sunt emise de autorit\u0103\u021bi de certificare de \u00eencredere publice, este necesar s\u0103 se transmit\u0103 manual ierarhiile de autoritate de certificare tuturor clien\u021bilor finali.<\/p>\n

\"DPI
\nMesaj de avertizare pentru un certificat auto-semnat \u00een Chrome. Sursa: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

Pe computerele cu Windows, se pot folosi Active Directory \u0219i politicile de grup, dar pentru dispozitivele mobile, procedura este mai complicat\u0103.<\/p>\n

Situa\u021bia se complic\u0103 \u0219i mai mult dac\u0103 trebuie s\u0103 sus\u021bii \u00een medii corporative \u0219i alte certificate r\u0103d\u0103cin\u0103, de exemplu, de la Microsoft, sau bazate pe OpenSSL. \u00cen plus, protec\u021bia \u0219i gestionarea cheilor secrete, pentru a evita expirarea nea\u0219teptat\u0103 a uneia dintre chei.<\/p>\n

Cea mai bun\u0103 op\u021biune: un certificat r\u0103d\u0103cin\u0103 dedicat privat de la o autoritate de certificare ter\u021b\u0103<\/h2>\n

\nDac\u0103 gestionarea mai multor r\u0103d\u0103cini sau certificate auto-semnate nu este o op\u021biune, exist\u0103 \u0219i o alt\u0103 variant\u0103: po\u021bi conta pe o autoritate de certificare ter\u021b\u0103. \u00cen acest caz, certificatele sunt emise din privat<\/b> o autoritate de certificare, care este legat\u0103 \u00een lan\u021bul de \u00eencredere cu un centru de certificare r\u0103d\u0103cin\u0103 dedicat \u0219i privat, creat special pentru companie.<\/p>\n

\"DPI<\/a><\/noindex>
\nArhitectur\u0103 simplificat\u0103 pentru certificatele r\u0103d\u0103cin\u0103 dedicate ale clien\u021bilor<\/i><\/p>\n

Aceast\u0103 configura\u021bie elimin\u0103 unele dintre problemele men\u021bionate anterior: m\u0103car reduce num\u0103rul de r\u0103d\u0103cini cu care trebuie gestionat\u0103. Aici se poate utiliza un singur centru de r\u0103d\u0103cin\u0103 privat pentru toate nevoile interne PKI, av\u00e2nd orice num\u0103r de centre de certificare intermediare. De exemplu, \u00een diagrama de mai sus este prezentat\u0103 o ierarhie \u00een mai multe niveluri, \u00een care unul dintre centrele de certificare intermediare este utilizat pentru verificarea\/decriptarea SSL, iar cel\u0103lalt - pentru computere interne (laptopuri, servere, desktopuri etc.).<\/p>\n

\u00cen acest sistem nu este necesar s\u0103 se plaseze un CA la to\u021bi clien\u021bii, deoarece CA-ul de nivel superior este g\u0103zduit de GlobalSign, ceea ce rezolv\u0103 problemele legate de protec\u021bia cheilor private \u0219i de expirare.<\/p>\n

Un alt avantaj al acestei abord\u0103ri este capacitatea de a revoca certificatele CA de inspec\u021bie SSL din orice motiv. \u00cen loc de acestea, se creeaz\u0103 pur \u0219i simplu unul nou, care este legat de r\u0103d\u0103cina dvs. privat\u0103 de baz\u0103, \u0219i acesta poate fi utilizat imediat.<\/p>\n

\u00cen ciuda tuturor contradic\u021biilor, companiile adopt\u0103 din ce \u00een ce mai frecvent inspec\u021bia SSL a traficului ca parte a infrastructurii interne sau private PKI. Alte utiliz\u0103ri ale unei PKI private includ emiterea de certificate pentru autentificarea dispozitivelor sau utilizatorilor, SSL pentru servere interne \u0219i diferite configura\u021bii care nu sunt permise \u00een certificatele publice de \u00eencredere conform cerin\u021belor CA\/Browser Forum.<\/p>\n

Browserele se opun<\/h2>\n

\nTrebuie men\u021bionat c\u0103 dezvoltatorii de browsere \u00eencearc\u0103 s\u0103 contracareze aceast\u0103 tendin\u021b\u0103 \u0219i s\u0103 protejeze utilizatorii finali de MiTM. De exemplu, acum c\u00e2teva zile Mozilla a decis<\/a><\/noindex> a anun\u021bat c\u0103 va activa \u00een mod implicit protocolul DoH (DNS-over-HTTPS) \u00een una dintre urm\u0103toarele versiuni ale browserului Firefox. Protocolul DoH ascunde cererile DNS de la sistemele DPI, \u00eengreun\u00e2nd inspec\u021bia SSL.<\/p>\n

Despre planuri similare pe 10 septembrie 2019 a anun\u021bat<\/a><\/noindex> compania Google pentru browserul Chrome.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Numai utilizatorii \u00eenregistra\u021bi pot participa la sondaj. Conecta\u021bi-v\u0103<\/a><\/noindex>, v\u0103 rug\u0103m.<\/p>\n

Crede\u021bi c\u0103 compania are dreptul s\u0103 inspecteze traficul SSL al angaja\u021bilor s\u0103i?<\/h2>\n