{"id":38110,"date":"2019-10-31T22:21:42","date_gmt":"2019-10-31T19:21:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut\/"},"modified":"2019-10-31T22:21:42","modified_gmt":"2019-10-31T19:21:42","slug":"dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/dpi-inspektsiya-ssl-protivorechit-smyslu-kriptografii-no-kompanii-eyo-vnedryayut","title":{"rendered":"DPI (SSL-inspektion) st\u00e5r i konflikt med meningen med kryptering, men f\u00f6retag implementerar det","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DPI
\nTrov\u00e4rdekedja. CC BY-SA 4.0 Yanpas<\/a><\/noindex><\/i><\/p>\n

Inspektion av SSL-trafik (avkodning av SSL\/TLS, analys av SSL eller DPI) blir allt mer aktuellt inom f\u00f6retagssektorn. Id\u00e9n om avkodning av trafik verkar faktiskt mots\u00e4ga sj\u00e4lva konceptet av kryptografi. Men faktum kvarst\u00e5r: allt fler f\u00f6retag anv\u00e4nder DPI-teknologier och f\u00f6rklarar detta med behovet av att kontrollera inneh\u00e5ll f\u00f6r skadlig programvara, datal\u00e4ckor osv.<\/p>\n

Om vi accepterar att s\u00e5dan teknik beh\u00f6ver implementeras, b\u00f6r vi \u00e5tminstone \u00f6verv\u00e4ga s\u00e4tt att g\u00f6ra det p\u00e5 det mest s\u00e4kra och v\u00e4lhanterade s\u00e4ttet. \u00c5tminstone b\u00f6r man inte f\u00f6rlita sig p\u00e5 de certifikat som t.ex. din DPI-leverant\u00f6r tillhandah\u00e5ller.<\/p>\n

Det finns en aspekt av implementeringen som inte alla k\u00e4nner till. Faktum \u00e4r att m\u00e5nga verkligen blir f\u00f6rv\u00e5nade n\u00e4r de h\u00f6r talas om det. Det handlar om en privat certifikatutf\u00e4rdare (CA). Den genererar certifikat f\u00f6r avkodning och \u00e5terskencoding av trafik.
\n<\/a><\/noindex>
\nIst\u00e4llet f\u00f6r att f\u00f6rlita sig p\u00e5 sj\u00e4lvsignerade certifikat eller certifikat fr\u00e5n DPI-enheter kan du anv\u00e4nda en dedikerad CA fr\u00e5n en extern certifikatutf\u00e4rdare som GlobalSign. Men l\u00e5t oss f\u00f6rst g\u00f6ra en liten \u00f6versikt av sj\u00e4lva problemet.<\/p>\n

Vad \u00e4r SSL-inspektion och varf\u00f6r anv\u00e4nds det?<\/h2>\n

\nFler och fler offentliga webbplatser g\u00e5r \u00f6ver till HTTPS. Till exempel, enligt Chrome-statistik<\/a><\/noindex>, i b\u00f6rjan av september 2019 n\u00e5dde andelen krypterad trafik i Ryssland 83%.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Tyv\u00e4rr anv\u00e4nds trafikryptning allt oftare av illvilliga akt\u00f6rer, s\u00e4rskilt eftersom Let\u2019s Encrypt automatiskt ger bort gratis SSL-certifikat i tusentals. P\u00e5 s\u00e5 s\u00e4tt anv\u00e4nds HTTPS \u00f6verallt \u2014 och h\u00e4ngl\u00e5set i webbl\u00e4sarens adressf\u00e4lt har slutat fungera som en p\u00e5litlig s\u00e4kerhetsindikator.<\/p>\n

Utifr\u00e5n dessa synpunkter marknadsf\u00f6r DPI-l\u00f6sningsproducenter sina produkter. De placeras mellan slutkonsumenter (d.v.s. dina anst\u00e4llda som surfar p\u00e5 webbplatser) och Internet, d\u00e4r de filtrerar bort skadlig trafik. Idag finns det flera s\u00e5dana produkter p\u00e5 marknaden, men processerna \u00e4r i stort sett desamma. HTTPS-trafik passerar genom en inspektionsenhet, d\u00e4r den avkodas och kontrolleras f\u00f6r skadlig programvara.<\/p>\n

Efter att kontrollen \u00e4r slutf\u00f6rd skapar enheten en ny SSL-session med den slutliga kunden f\u00f6r dekryptering och omkryptering av inneh\u00e5llet.<\/p>\n

Hur fungerar processen f\u00f6r dekryptering\/omkryptering<\/h2>\n

\nF\u00f6r att SSL-inspektionsenheten ska kunna dekryptera och omkryptera paket innan de skickas till slutanv\u00e4ndare, m\u00e5ste den kunna utf\u00e4rda SSL-certifikat i realtid. Detta inneb\u00e4r att enheten m\u00e5ste ha en CS-certifikat installerat.<\/p>\n

F\u00f6r f\u00f6retaget (eller en annan mellanhand) \u00e4r det viktigt att dessa SSL-certifikat \u00e4r betrodda i webbl\u00e4sare (d.v.s. inte orsakar skr\u00e4mmande varningsmeddelanden som det nedan). D\u00e4rf\u00f6r m\u00e5ste CS-kedjan (eller hierarkin) finnas i webbl\u00e4sarens f\u00f6rtroendef\u00f6rr\u00e5d. Eftersom dessa certifikat inte utf\u00e4rdas av offentligt betrodda certifikatmyndigheter, m\u00e5ste hierarkierna \u00f6verf\u00f6ras manuellt till alla slutkunder.<\/p>\n

\"DPI
\nVarningsmeddelande f\u00f6r ett sj\u00e4lvsignerat certifikat i Chrome. K\u00e4lla: BadSSL.com<\/a><\/noindex><\/i><\/p>\n

P\u00e5 datorer med Windows kan Active Directory och grupprinciper anv\u00e4ndas, men f\u00f6r mobila enheter \u00e4r processen mer komplicerad.<\/p>\n

Situationen blir \u00e4nnu mer komplicerad om det beh\u00f6vs st\u00f6dja andra rotcertifikat i f\u00f6retagsmilj\u00f6n, som fr\u00e5n Microsoft eller baserat p\u00e5 OpenSSL. Plus skydd av hemliga nycklar och deras hantering, s\u00e5 att ingen av nycklarna ov\u00e4ntat g\u00e5r ut.<\/p>\n

B\u00e4sta alternativet: ett privat, dedikerat rotcertifikat fr\u00e5n en extern CS.<\/h2>\n

\nOm administrationen av flera r\u00f6tter eller sj\u00e4lvsignerade certifikat inte tilltalar, finns det ett annat alternativ: man kan f\u00f6rlita sig p\u00e5 en extern CS. I s\u00e5 fall utf\u00e4rdas certifikaten fr\u00e5n en privat<\/b> certifikatmyndighet, som \u00e4r kopplad i kedjan av f\u00f6rtroende med ett dedikerat, privat rotcertifikat som skapats speciellt f\u00f6r f\u00f6retaget.<\/p>\n

\"DPI<\/a><\/noindex>
\nF\u00f6renklad arkitektur f\u00f6r dedikerade klientrotcertifikat<\/i><\/p>\n

Denna konfiguration minskar vissa av de problem som n\u00e4mndes tidigare: \u00e5tminstone minskar den antalet rotmyndigheter som m\u00e5ste hanteras. H\u00e4r kan endast ett privat rotcentrum anv\u00e4ndas f\u00f6r alla interna PKI-behov med valfritt antal mellanliggande certifikatcentra. Till exempel visar den ovanst\u00e5ende diagrammet en flerledshierarki d\u00e4r ett av de mellanliggande certifikatcentra anv\u00e4nds f\u00f6r verifiering\/avkodning av SSL, medan ett annat anv\u00e4nds f\u00f6r interna datorer (b\u00e4rbara datorer, servrar, station\u00e4ra datorer etc.).<\/p>\n

I detta schema beh\u00f6ver CS inte placeras p\u00e5 alla klienter, eftersom toppniv\u00e5 CS placeras hos GlobalSign, vilket l\u00f6ser problemen med skydd av den privata nyckeln och giltighetstiden.<\/p>\n

En annan f\u00f6rdel med detta tillv\u00e4gag\u00e5ngss\u00e4tt \u00e4r m\u00f6jligheten att \u00e5terkalla certifikatcentrum f\u00f6r SSL-inspektion av vilken anledning som helst. Ist\u00e4llet skapas helt enkelt ett nytt, som kopplas till din ursprungliga privata rot, och kan anv\u00e4ndas omedelbart.<\/p>\n

Trots alla kontroverser implementerar f\u00f6retag allt oftare SSL-inspektion av trafik som en del av intern eller privat PKI-infrastruktur. Andra anv\u00e4ndningsomr\u00e5den f\u00f6r privat PKI \u00e4r utf\u00e4rdande av certifikat f\u00f6r autentisering av enheter eller anv\u00e4ndare, SSL f\u00f6r interna servrar samt olika konfigurationer som inte \u00e4r till\u00e5tna i offentligt betrodda certifikat enligt CA\/Browser Forum-kraven.<\/p>\n

Webbl\u00e4sare mots\u00e4tter sig<\/h2>\n

\nDet b\u00f6r noteras att webbl\u00e4sarutvecklare f\u00f6rs\u00f6ker motverka denna trend och skydda slutkonsumenterna fr\u00e5n MiTM. Till exempel, f\u00f6r n\u00e5gra dagar sedan, Mozilla har fattat beslut<\/a><\/noindex> planerar att aktivera DoH (DNS-over-HTTPS) som standard i en av de kommande versionerna av Firefox. DoH-protokollet d\u00f6ljer DNS-fr\u00e5gor fr\u00e5n DPI-system, vilket g\u00f6r SSL-inspektion mer komplicerad.<\/p>\n

Om liknande planer den 10 september 2019 tillk\u00e4nnagav<\/a><\/noindex> f\u00f6retaget Google f\u00f6r webbl\u00e4saren Chrome.<\/p>\n

\"DPI<\/a><\/noindex><\/p>\n

Endast registrerade anv\u00e4ndare kan delta i omr\u00f6stningen. Logga in<\/a><\/noindex>, tack.<\/p>\n

Tycker du att f\u00f6retaget har r\u00e4tt att inspektera SSL-trafiken f\u00f6r sina anst\u00e4llda?<\/h2>\n