{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (inspekcia SSL) je v protiklade so zmyslom kryptografie, av\u0161ak spolo\u010dnosti ju implementuj\u00fa","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nRe\u0165azec d\u00f4very. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

In\u0161pekcia SSL prev\u00e1dzkov\u00e9ho prenosu (de\u0161ifrovanie SSL\/TLS, anal\u00fdza SSL alebo DPI) sa st\u00e1va \u010doraz popul\u00e1rnej\u0161ou t\u00e9mou diskusi\u00ed v korpor\u00e1tnej sf\u00e9re. My\u0161lienka de\u0161ifrovania prenosu akoby bola v rozpore s konceptom kryptografie. Fakty v\u0161ak hovoria inak: st\u00e1le viac spolo\u010dnost\u00ed vyu\u017e\u00edva technol\u00f3gie DPI, od\u00f4vod\u0148uj\u00fac to potrebou kontroly obsahu na pr\u00edtomnos\u0165 \u0161kodliv\u00e9ho softv\u00e9ru, \u00fanikov \u00fadajov at\u010f.<\/p>\n

Ak teda akceptujeme potrebu implement\u00e1cie tejto technol\u00f3gie, je potrebn\u00e9 zv\u00e1\u017ei\u0165 sp\u00f4soby, ako to uskuto\u010dni\u0165 najbezpe\u010dnej\u0161\u00edm a najlep\u0161ie spravovan\u00fdm sp\u00f4sobom. Aspo\u0148 sa nespoliehajte na certifik\u00e1ty, ktor\u00e9 v\u00e1m poskytuje dod\u00e1vate\u013e syst\u00e9mu DPI.<\/p>\n

Existuje jeden aspekt implement\u00e1cie, o ktorom nie ka\u017ed\u00fd vie. Mnoh\u00ed s\u00fa prekvapen\u00ed, ke\u010f o \u0148om po\u010duj\u00fa. Je to s\u00fakromn\u00fd certifika\u010dn\u00fd \u00farad (CA). Ten generuje certifik\u00e1ty na de\u0161ifrovanie a op\u00e4tovn\u00e9 \u0161ifrovanie prenosu.
\n<\/a><\/noindex>
\nNamiesto spoliehania sa na samostatne podp\u00edsan\u00e9 certifik\u00e1ty alebo certifik\u00e1ty z DPI zariaden\u00ed, m\u00f4\u017eete vyu\u017ei\u0165 dedikovan\u00fd CA od extern\u00e9ho certifika\u010dn\u00e9ho \u00faradu, ako je GlobalSign. Predt\u00fdm si v\u0161ak urobme kr\u00e1tky preh\u013ead samotn\u00e9ho probl\u00e9mu.<\/p>\n

\u010co je to SSL in\u0161pekcia a pre\u010do sa pou\u017e\u00edva?<\/h2>\n

\nSt\u00e1le viac verejn\u00fdch webov\u00fdch str\u00e1nok prech\u00e1dza na HTTPS. Napr\u00edklad pod\u013ea \u0161tatist\u00edk Chrome<\/a><\/noindex>, na za\u010diatku septembra 2019 dosiahla podiel \u0161ifrovan\u00e9ho prenosu v Rusku 83%.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

\u017dia\u013e, \u0161ifrovanie prenosu \u010doraz \u010dastej\u0161ie zneu\u017e\u00edvaj\u00fa aj zlo\u010dinci, najm\u00e4 preto, \u017ee Let\u2019s Encrypt rozd\u00e1va tis\u00edce bezplatn\u00fdch SSL certifik\u00e1tov automatizovan\u00fdm sp\u00f4sobom. T\u00fdmto sp\u00f4sobom sa HTTPS vyu\u017e\u00edva v\u0161ade \u2014 a zamknut\u00e1 ikona v adresnom riadku prehliada\u010da prestala by\u0165 spo\u013eahliv\u00fdm indik\u00e1torom bezpe\u010dnosti.<\/p>\n

Z t\u00fdchto poh\u013eadov propaguj\u00fa svoj produkt v\u00fdrobcovia DPI rie\u0161en\u00ed. Tieto rie\u0161enia s\u00fa zaveden\u00e9 medzi koncov\u00fdmi pou\u017e\u00edvate\u013emi (t.j. v\u00e1\u0161mi zamestnancami, ktor\u00ed prezeraj\u00fa webov\u00e9 str\u00e1nky) a internetom, pri\u010dom filtruj\u00fa \u0161kodliv\u00fd prenos. Dnes je na trhu nieko\u013eko tak\u00fdchto produktov, ale procesy s\u00fa v podstate rovnak\u00e9. HTTPS prenos prech\u00e1dza cez kontroln\u00e9 zariadenie, kde je de\u0161ifrovan\u00fd a kontrolovan\u00fd na pr\u00edtomnos\u0165 \u0161kodliv\u00e9ho softv\u00e9ru.<\/p>\n

Po dokon\u010den\u00ed kontroly zariadenie vytv\u00e1ra nov\u00fa SSL rel\u00e1ciu s kone\u010dn\u00fdm klientom na de\u0161ifrovanie a op\u00e4tovn\u00e9 \u0161ifrovanie obsahu.<\/p>\n

Ako funguje proces de\u0161ifrovania\/op\u00e4tovn\u00e9ho \u0161ifrovania<\/h2>\n

\nAby zariadenie SSL in\u0161pekcie de\u0161ifrovalo a op\u00e4tovne \u0161ifrovalo pakety pred ich odoslan\u00edm kone\u010dn\u00fdm u\u017e\u00edvate\u013eom, mus\u00ed ma\u0165 schopnos\u0165 dynamicky vyd\u00e1va\u0165 SSL certifik\u00e1ty. To znamen\u00e1, \u017ee na \u0148om mus\u00ed by\u0165 nain\u0161talovan\u00fd certifik\u00e1t CA.<\/p>\n

Pre spolo\u010dnos\u0165 (alebo in\u00fa osobu v strede) je d\u00f4le\u017eit\u00e9, aby tieto SSL certifik\u00e1ty boli d\u00f4veryhodn\u00e9 v prehliada\u010doch (t. j. nevyvol\u00e1vali stra\u0161n\u00e9 varovn\u00e9 spr\u00e1vy, ako je uveden\u00e9 ni\u017e\u0161ie). Preto mus\u00ed by\u0165 re\u0165azec CA (alebo hierarchia) v \u00falo\u017eisku d\u00f4very prehliada\u010da. Ke\u010f\u017ee tieto certifik\u00e1ty nie s\u00fa vyd\u00e1van\u00e9 z verejn\u00fdch d\u00f4veryhodn\u00fdch certifika\u010dn\u00fdch autor\u00edt, je potrebn\u00e9 ru\u010dne odovzda\u0165 hierarchiu CA v\u0161etk\u00fdm kone\u010dn\u00fdm klientom.<\/p>\n

\"DPI
\nVarovn\u00e1 spr\u00e1va pre self-signed certifik\u00e1t v Chrome. Zdroj: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

Na po\u010d\u00edta\u010doch s Windows je mo\u017en\u00e9 vyu\u017ei\u0165 Active Directory a skupinov\u00e9 politiky, ale pre mobiln\u00e9 zariadenia je proces zlo\u017eitej\u0161\u00ed.<\/p>\n

Situ\u00e1cia sa e\u0161te viac komplikuje, ak je potrebn\u00e9 podporova\u0165 aj in\u00e9 kore\u0148ov\u00e9 certifik\u00e1ty v podnikovom prostred\u00ed, napr\u00edklad od Microsoftu, alebo na b\u00e1ze OpenSSL. Plus ochrana tajn\u00fdch k\u013e\u00fa\u010dov a ich spr\u00e1va, aby \u017eiaden z k\u013e\u00fa\u010dov neexpiruje ne\u010dakane.<\/p>\n

Najlep\u0161ia mo\u017enos\u0165: s\u00fakromn\u00fd, vyhraden\u00fd kore\u0148ov\u00fd certifik\u00e1t od tretieho CA<\/h2>\n

\nAk spr\u00e1va viacer\u00fdch kore\u0148ov alebo self-signed certifik\u00e1ty nie s\u00fa zauj\u00edmav\u00e9, je tu aj in\u00e1 mo\u017enos\u0165: m\u00f4\u017eeme sa spo\u013eahn\u00fa\u0165 na tret\u00ed CA. V takom pr\u00edpade certifik\u00e1ty s\u00fa vyd\u00e1van\u00e9 z s\u00fakromn\u00e9ho<\/b> certifika\u010dn\u00e9ho centra, ktor\u00e9 je spojen\u00e9 v re\u0165azci d\u00f4very s vyhraden\u00fdm, s\u00fakromn\u00fdm kore\u0148ov\u00fdm certifika\u010dn\u00fdm centrom vytvoren\u00fdm \u0161peci\u00e1lne pre spolo\u010dnos\u0165.<\/p>\n

\"DPI<\/a><\/noindex>
\nZjednodu\u0161en\u00e1 architekt\u00fara pre vyhraden\u00e9 klientsk\u00e9 kore\u0148ov\u00e9 certifik\u00e1ty<\/i><\/p>\n

Toto nastavenie eliminuje niektor\u00e9 z predt\u00fdm spomenut\u00fdch probl\u00e9mov: aspo\u0148 zni\u017euje po\u010det kore\u0148ov\u00fdch certifik\u00e1tov, o ktor\u00e9 je potrebn\u00e9 sa stara\u0165. M\u00f4\u017ee sa tu pou\u017ei\u0165 iba jedno s\u00fakromn\u00e9 kore\u0148ov\u00e9 centrum pre v\u0161etky vn\u00fatorn\u00e9 potreby PKI s \u013eubovo\u013en\u00fdm po\u010dtom medzin\u00e1rodn\u00fdch certifika\u010dn\u00fdch centier. Napr\u00edklad na uvedenom diagrame je zn\u00e1zornen\u00e1 viac\u00farov\u0148ov\u00e1 hierarchia, v ktorej jedno z medzin\u00e1rodn\u00fdch certifika\u010dn\u00fdch centier sl\u00fa\u017ei na overenie\/de\u0161ifrovanie SSL a in\u00e9 na intern\u00e9 po\u010d\u00edta\u010de (notebooky, servery, stoln\u00e9 po\u010d\u00edta\u010de at\u010f.).<\/p>\n

V tomto sch\u00e9me nie je potrebn\u00e9 umiest\u0148ova\u0165 CS na v\u0161etk\u00fdch klientoch, preto\u017ee najvy\u0161\u0161ie CS je umiestnen\u00e9 u GlobalSign, \u010do rie\u0161i probl\u00e9my so zabezpe\u010den\u00edm s\u00fakromn\u00e9ho k\u013e\u00fa\u010da a jeho platnos\u0165ou.<\/p>\n

\u010eal\u0161ou v\u00fdhodou tohto pr\u00edstupu je mo\u017enos\u0165 odvolania certifik\u00e1tu SSL in\u0161pekcie z ak\u00e9hoko\u013evek d\u00f4vodu. Namiesto toho sa jednoducho vytvor\u00ed nov\u00fd certifik\u00e1t, ktor\u00fd je priraden\u00fd k v\u00e1\u0161mu p\u00f4vodn\u00e9mu s\u00fakromn\u00e9mu kore\u0148u, a je mo\u017en\u00e9 ho okam\u017eite pou\u017ei\u0165.<\/p>\n

Napriek v\u0161etk\u00fdm kontroverzi\u00e1m podniky \u010doraz \u010dastej\u0161ie zav\u00e1dzaj\u00fa in\u0161pekciu SSL prev\u00e1dzky ako s\u00fa\u010das\u0165 svojej vn\u00fatornej alebo s\u00fakromnej infra\u0161trukt\u00fary PKI. In\u00e9 mo\u017enosti vyu\u017eitia s\u00fakromnej PKI zah\u0155\u0148aj\u00fa vyd\u00e1vanie certifik\u00e1tov na autentiz\u00e1ciu zariaden\u00ed alebo pou\u017e\u00edvate\u013eov, SSL pre intern\u00e9 servery a r\u00f4zne konfigur\u00e1cie, ktor\u00e9 nie s\u00fa povolen\u00e9 v verejne d\u00f4veryhodn\u00fdch certifik\u00e1toch pod\u013ea po\u017eiadaviek CA\/Browser Forum.<\/p>\n

Prehliada\u010de odporuj\u00fa<\/h2>\n

\nJe potrebn\u00e9 poznamena\u0165, \u017ee v\u00fdvoj\u00e1ri prehliada\u010dov sa sna\u017eia odol\u00e1va\u0165 tomuto trendu a chr\u00e1ni\u0165 koncov\u00fdch pou\u017e\u00edvate\u013eov pred MiTM. Napr\u00edklad pred nieko\u013ek\u00fdmi d\u0148ami Mozilla rozhodla<\/a><\/noindex> rozhodla zahrn\u00fa\u0165 predvolene protokol DoH (DNS-over-HTTPS) do jednej z nasleduj\u00facich verzi\u00ed prehliada\u010da Firefox. Protokol DoH skr\u00fdva DNS po\u017eiadavky pred syst\u00e9mom DPI, \u010d\u00edm s\u0165a\u017euje in\u0161pekciu SSL.<\/p>\n

O podobn\u00fdch pl\u00e1noch hovoril 10. septembra 2019 vyhl\u00e1sila<\/a><\/noindex> spolo\u010dnos\u0165 Google pre prehliada\u010d Chrome.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Len registrovan\u00ed pou\u017e\u00edvatelia sa m\u00f4\u017eu z\u00fa\u010dastni\u0165 prieskumu. Prihl\u00e1ste sa<\/a><\/noindex>, pros\u00edm.<\/p>\n

\u010co si mysl\u00edte, m\u00e1 spolo\u010dnos\u0165 pr\u00e1vo in\u0161pek\u010dne kontrolova\u0165 SSL prev\u00e1dzku svojich zamestnancov?<\/h2>\n