సగం సైట్లు , మరియు వారి సంఖ్య క్రమంగా పెరుగుతోంది. ప్రోటోకాల్ ట్రాఫిక్ అంతరాయ ప్రమాదాన్ని తగ్గిస్తుంది, కానీ ప్రయత్నించిన దాడులను తొలగించదు. మేము వాటిలో కొన్నింటి గురించి మాట్లాడుతాము - POODLE, BEAST, DROWN మరియు ఇతరులు - మరియు మా మెటీరియల్‌లో రక్షణ పద్ధతులు.
/flickr/ / CC BY-SA
పూడ్లే
దాడి గురించి మొదటిసారి 2014లో తెలిసింది. SSL 3.0 ప్రోటోకాల్‌లోని ఒక దుర్బలత్వాన్ని సమాచార భద్రతా నిపుణుడు బోడో ముల్లర్ మరియు Google సహచరులు కనుగొన్నారు.
దీని సారాంశం క్రింది విధంగా ఉంది: హ్యాకర్ క్లయింట్‌ను SSL 3.0 ద్వారా కనెక్ట్ చేయడానికి బలవంతం చేస్తాడు, డిస్‌కనెక్షన్‌లను అనుకరిస్తాడు. అప్పుడు అది ఎన్‌క్రిప్టెడ్‌లో శోధిస్తుంది -ట్రాఫిక్ మోడ్ ప్రత్యేక ట్యాగ్ సందేశాలు. నకిలీ అభ్యర్థనల శ్రేణిని ఉపయోగించి, దాడి చేసే వ్యక్తి కుక్కీల వంటి ఆసక్తి ఉన్న డేటా యొక్క కంటెంట్‌లను పునర్నిర్మించగలడు.
SSL 3.0 అనేది కాలం చెల్లిన ప్రోటోకాల్. కానీ అతని భద్రత ప్రశ్న ఇప్పటికీ సంబంధితంగా ఉంది. సర్వర్‌లతో అనుకూలత సమస్యలను నివారించడానికి క్లయింట్లు దీనిని ఉపయోగిస్తారు. కొన్ని డేటా ప్రకారం, 7 వేల అత్యంత ప్రజాదరణ పొందిన సైట్‌లలో దాదాపు 100% . కూడా మరింత ఆధునిక TLS 1.0 మరియు TLS 1.1ని లక్ష్యంగా చేసుకునే POODLEకి మార్పులు. ఈ సంవత్సరం TLS 1.2 రక్షణను దాటవేసే కొత్త Zombie POODLE మరియు GOLDENDOODLE దాడులు (అవి ఇప్పటికీ CBC ఎన్‌క్రిప్షన్‌తో అనుబంధించబడి ఉన్నాయి).
మిమ్మల్ని మీరు ఎలా రక్షించుకోవాలి. అసలు POODLE విషయంలో, మీరు SSL 3.0 మద్దతుని నిలిపివేయాలి. అయితే, ఈ సందర్భంలో అనుకూలత సమస్యల ప్రమాదం ఉంది. ప్రత్యామ్నాయ పరిష్కారం TLS_FALLBACK_SCSV విధానం కావచ్చు - ఇది SSL 3.0 ద్వారా డేటా మార్పిడి పాత సిస్టమ్‌లతో మాత్రమే నిర్వహించబడుతుందని నిర్ధారిస్తుంది. దాడి చేసేవారు ఇకపై ప్రోటోకాల్ డౌన్‌గ్రేడ్‌లను ప్రారంభించలేరు. Zombie POODLE మరియు GOLDENDOODLE నుండి రక్షించడానికి TLS 1.2-ఆధారిత అప్లికేషన్‌లలో CBC మద్దతును నిలిపివేయడం. కార్డినల్ పరిష్కారం TLS 1.3కి పరివర్తన అవుతుంది - ప్రోటోకాల్ యొక్క కొత్త వెర్షన్ CBC గుప్తీకరణను ఉపయోగించదు. బదులుగా, మరింత మన్నికైన AES మరియు ChaCha20 ఉపయోగించబడతాయి.
మృగం
1.0లో కనుగొనబడిన SSL మరియు TLS 2011పై మొట్టమొదటి దాడుల్లో ఒకటి. పూడ్లే, బీస్ట్ లాగా CBC ఎన్క్రిప్షన్ యొక్క లక్షణాలు. దాడి చేసేవారు క్లయింట్ మెషీన్‌లో JavaScript ఏజెంట్ లేదా Java ఆప్లెట్‌ను ఇన్‌స్టాల్ చేస్తారు, ఇది TLS లేదా SSL ద్వారా డేటాను ప్రసారం చేస్తున్నప్పుడు సందేశాలను భర్తీ చేస్తుంది. దాడి చేసేవారికి “డమ్మీ” ప్యాకెట్‌ల కంటెంట్‌లు తెలుసు కాబట్టి, వారు వాటిని ఇనిషియలైజేషన్ వెక్టర్‌ని డీక్రిప్ట్ చేయడానికి మరియు ప్రామాణీకరణ కుక్కీల వంటి ఇతర సందేశాలను సర్వర్‌కి చదవడానికి ఉపయోగించవచ్చు.
నేటికి, BEAST దుర్బలత్వాలు అలాగే ఉన్నాయి : స్థానిక ఇంటర్నెట్ గేట్‌వేలను రక్షించడానికి ప్రాక్సీ సర్వర్లు మరియు అప్లికేషన్‌లు.
మిమ్మల్ని మీరు ఎలా రక్షించుకోవాలి. దాడి చేసే వ్యక్తి డేటాను డీక్రిప్ట్ చేయడానికి సాధారణ అభ్యర్థనలను పంపాలి. VMware లో SSLSessionCacheTimeout వ్యవధిని ఐదు నిమిషాల (డిఫాల్ట్ సిఫార్సు) నుండి 30 సెకన్లకు తగ్గించండి. ఈ విధానం దాడి చేసేవారికి వారి ప్రణాళికలను అమలు చేయడం మరింత కష్టతరం చేస్తుంది, అయినప్పటికీ ఇది పనితీరుపై కొంత ప్రతికూల ప్రభావాన్ని చూపుతుంది. అదనంగా, బీస్ట్ దుర్బలత్వం త్వరలో దాని స్వంత గతానికి సంబంధించినదిగా మారుతుందని మీరు అర్థం చేసుకోవాలి - 2020 నుండి, అతిపెద్ద బ్రౌజర్‌లు TLS 1.0 మరియు 1.1కి మద్దతు. ఏదైనా సందర్భంలో, మొత్తం బ్రౌజర్ వినియోగదారులలో 1,5% కంటే తక్కువ మంది ఈ ప్రోటోకాల్‌లతో పని చేస్తారు.
మునుగు
ఇది 2-బిట్ RSA కీలతో SSLv40 అమలులో బగ్‌లను ఉపయోగించుకునే క్రాస్-ప్రోటోకాల్ దాడి. దాడి చేసే వ్యక్తి లక్ష్యం యొక్క వందలాది TLS కనెక్షన్‌లను వింటాడు మరియు అదే ప్రైవేట్ కీని ఉపయోగించి SSLv2 సర్వర్‌కు ప్రత్యేక ప్యాకెట్‌లను పంపుతాడు. ఉపయోగించి , ఒక హ్యాకర్ వెయ్యి క్లయింట్ TLS సెషన్‌లలో ఒకదానిని డీక్రిప్ట్ చేయగలడు.
DROWN మొదట 2016 లో తెలిసింది - తర్వాత అది తేలింది ఈ ప్రపంచంలో. నేడు దాని ఔచిత్యాన్ని కోల్పోలేదు. 150 వేల అత్యంత ప్రజాదరణ పొందిన సైట్‌లలో, 2% ఇప్పటికీ ఉన్నాయి SSLv2 మరియు హాని కలిగించే ఎన్క్రిప్షన్ మెకానిజమ్స్.
మిమ్మల్ని మీరు ఎలా రక్షించుకోవాలి. SSLv2 మద్దతును నిలిపివేసే క్రిప్టోగ్రాఫిక్ లైబ్రరీల డెవలపర్‌లు ప్రతిపాదించిన ప్యాచ్‌లను ఇన్‌స్టాల్ చేయడం అవసరం. ఉదాహరణకు, OpenSSL (2016లో) కోసం అలాంటి రెండు ప్యాచ్‌లు అందించబడ్డాయి 1.0.1 సె మరియు 1.0.2 గ్రా). అలాగే, హాని కలిగించే ప్రోటోకాల్‌ను నిలిపివేయడానికి నవీకరణలు మరియు సూచనలు ప్రచురించబడ్డాయి , , .
"మెయిల్ సర్వర్ వంటి SSLv2తో థర్డ్-పార్టీ సర్వర్ ద్వారా దాని కీలను ఉపయోగించినట్లయితే వనరు ముంపుకు గురి కావచ్చు" అని డెవలప్‌మెంట్ డిపార్ట్‌మెంట్ హెడ్ పేర్కొన్నారు సెర్గీ బెల్కిన్. — అనేక సర్వర్లు సాధారణ SSL ప్రమాణపత్రాన్ని ఉపయోగిస్తే ఈ పరిస్థితి ఏర్పడుతుంది. ఈ సందర్భంలో, మీరు అన్ని మెషీన్లలో SSLv2 మద్దతును నిలిపివేయాలి."
మీరు మీ సిస్టమ్‌ను ప్రత్యేకతను ఉపయోగించి అప్‌డేట్ చేయాలా వద్దా అని తనిఖీ చేయవచ్చు — ఇది DROWNని కనుగొన్న సమాచార భద్రతా నిపుణులచే అభివృద్ధి చేయబడింది. ఈ రకమైన దాడి నుండి రక్షణకు సంబంధించిన సిఫార్సుల గురించి మీరు మరింత చదవవచ్చు .
Heartbleed
సాఫ్ట్‌వేర్‌లోని అతి పెద్ద దుర్బలత్వాలలో ఒకటి . ఇది 2014లో OpenSSL లైబ్రరీలో కనుగొనబడింది. బగ్ ప్రకటన సమయంలో, హాని కలిగించే వెబ్‌సైట్‌ల సంఖ్య - ఇది నెట్‌వర్క్‌లోని రక్షిత వనరులలో దాదాపు 17%.
చిన్న హార్ట్‌బీట్ TLS ఎక్స్‌టెన్షన్ మాడ్యూల్ ద్వారా దాడి అమలు చేయబడుతుంది. TLS ప్రోటోకాల్‌కు డేటాను నిరంతరం ప్రసారం చేయడం అవసరం. సుదీర్ఘమైన పనికిరాని సమయంలో, విరామం ఏర్పడుతుంది మరియు కనెక్షన్‌ని మళ్లీ ఏర్పాటు చేయాలి. సమస్యను ఎదుర్కోవటానికి, సర్వర్లు మరియు క్లయింట్లు ఛానెల్‌ని కృత్రిమంగా "శబ్దం" చేస్తాయి (), యాదృచ్ఛిక పొడవు యొక్క ప్యాకెట్‌ను ప్రసారం చేస్తుంది. ఇది మొత్తం ప్యాకెట్ కంటే పెద్దదైతే, OpenSSL యొక్క హాని కలిగించే సంస్కరణలు కేటాయించిన బఫర్‌కు మించి మెమరీని రీడ్ చేస్తాయి. ఈ ప్రాంతంలో ప్రైవేట్ ఎన్క్రిప్షన్ కీలు మరియు ఇతర కనెక్షన్‌లకు సంబంధించిన సమాచారంతో సహా ఏదైనా డేటా ఉండవచ్చు.
లైబ్రరీ యొక్క అన్ని సంస్కరణల్లో 1.0.1 మరియు 1.0.1f కలుపుకొని, అలాగే అనేక ఆపరేటింగ్ సిస్టమ్‌లలో ఈ దుర్బలత్వం ఉంది - ఉబుంటు 12.04.4 వరకు, CentOS 6.5 కంటే పాతది, OpenBSD 5.3 మరియు ఇతరాలు. పూర్తి జాబితా ఉంది . ఈ దుర్బలత్వానికి వ్యతిరేకంగా పాచెస్ కనుగొనబడిన వెంటనే విడుదల చేయబడినప్పటికీ, ఈ సమస్య నేటికీ సంబంధితంగా ఉంది. తిరిగి 2017లో , హార్ట్ బ్లీడ్ కు అవకాశం ఉంది.
మిమ్మల్ని మీరు ఎలా రక్షించుకోవాలి. ఇది అవసరం వెర్షన్ 1.0.1g లేదా అంతకంటే ఎక్కువ. మీరు DOPENSSL_NO_HEARTBEATS ఎంపికను ఉపయోగించి హృదయ స్పందన అభ్యర్థనలను మాన్యువల్‌గా కూడా నిలిపివేయవచ్చు. నవీకరణ తర్వాత, సమాచార భద్రతా నిపుణులు SSL సర్టిఫికేట్‌లను మళ్లీ జారీ చేయండి. ఎన్క్రిప్షన్ కీలలోని డేటా హ్యాకర్ల చేతుల్లోకి వెళితే భర్తీ అవసరం.
సర్టిఫికేట్ ప్రత్యామ్నాయం
చట్టబద్ధమైన SSL ప్రమాణపత్రంతో నిర్వహించబడే నోడ్ వినియోగదారు మరియు సర్వర్ మధ్య ఇన్‌స్టాల్ చేయబడింది, ట్రాఫిక్‌ను చురుకుగా అడ్డుకుంటుంది. ఈ నోడ్ చెల్లుబాటు అయ్యే సర్టిఫికేట్‌ను ప్రదర్శించడం ద్వారా చట్టబద్ధమైన సర్వర్‌గా నటించి, MITM దాడిని నిర్వహించడం సాధ్యమవుతుంది.
ప్రకారం మొజిల్లా, గూగుల్ మరియు అనేక విశ్వవిద్యాలయాల నుండి వచ్చిన బృందాలు, నెట్‌వర్క్‌లోని దాదాపు 11% సురక్షిత కనెక్షన్‌లు దొంగిలించబడ్డాయి. వినియోగదారుల కంప్యూటర్‌లలో అనుమానాస్పద రూట్ సర్టిఫికేట్‌లను ఇన్‌స్టాల్ చేయడం వల్ల వచ్చిన ఫలితం ఇది.
మిమ్మల్ని మీరు ఎలా రక్షించుకోవాలి. విశ్వసనీయ సేవలను ఉపయోగించండి . మీరు సేవను ఉపయోగించి ధృవపత్రాల "నాణ్యత"ని తనిఖీ చేయవచ్చు (CT). క్లౌడ్ ప్రొవైడర్లు వినడాన్ని గుర్తించడంలో కూడా సహాయపడగలరు; కొన్ని పెద్ద కంపెనీలు ఇప్పటికే TLS కనెక్షన్‌లను పర్యవేక్షించడానికి ప్రత్యేక సాధనాలను అందిస్తున్నాయి.
రక్షణ యొక్క మరొక పద్ధతి కొత్తది ACME, ఇది SSL ప్రమాణపత్రాల రసీదుని ఆటోమేట్ చేస్తుంది. అదే సమయంలో, ఇది సైట్ యజమానిని ధృవీకరించడానికి అదనపు మెకానిజమ్‌లను జోడిస్తుంది. దాని గురించి మరింత .
/flickr/ / CC ద్వారా
HTTPS కోసం అవకాశాలు
అనేక దుర్బలత్వాలు ఉన్నప్పటికీ, IT దిగ్గజాలు మరియు సమాచార భద్రతా నిపుణులు ప్రోటోకాల్ యొక్క భవిష్యత్తుపై నమ్మకంగా ఉన్నారు. HTTPS క్రియాశీల అమలు కోసం WWW సృష్టికర్త టిమ్ బెర్నర్స్-లీ. అతని ప్రకారం, కాలక్రమేణా TLS మరింత సురక్షితంగా మారుతుంది, ఇది కనెక్షన్ల భద్రతను గణనీయంగా మెరుగుపరుస్తుంది. బెర్నర్స్-లీ కూడా సూచించారు గుర్తింపు ప్రమాణీకరణ కోసం క్లయింట్ సర్టిఫికెట్లు. దాడి చేసేవారి నుండి సర్వర్ రక్షణను మెరుగుపరచడంలో అవి సహాయపడతాయి.
మెషిన్ లెర్నింగ్‌ని ఉపయోగించి SSL/TLS సాంకేతికతను అభివృద్ధి చేయడానికి కూడా ప్రణాళిక చేయబడింది - హానికరమైన ట్రాఫిక్‌ను ఫిల్టర్ చేయడానికి స్మార్ట్ అల్గారిథమ్‌లు బాధ్యత వహిస్తాయి. HTTPS కనెక్షన్‌లతో, మాల్వేర్ నుండి అభ్యర్థనలను గుర్తించడంతోపాటు గుప్తీకరించిన సందేశాల కంటెంట్‌లను కనుగొనడానికి నిర్వాహకులకు మార్గం లేదు. ఈ రోజు ఇప్పటికే, న్యూరల్ నెట్‌వర్క్‌లు 90% ఖచ్చితత్వంతో ప్రమాదకరమైన ప్యాకెట్‌లను ఫిల్టర్ చేయగలవు. ().
కనుగొన్న
HTTPSపై జరిగే చాలా దాడులు ప్రోటోకాల్‌లోని సమస్యలకు సంబంధించినవి కావు, కానీ కాలం చెల్లిన ఎన్క్రిప్షన్ మెకానిజమ్‌లకు మద్దతు ఇవ్వడానికి. IT పరిశ్రమ మునుపటి తరం ప్రోటోకాల్‌లను క్రమంగా వదలివేయడం ప్రారంభించింది మరియు బలహీనతలను శోధించడానికి కొత్త సాధనాలను అందిస్తోంది. భవిష్యత్తులో, ఈ సాధనాలు మరింత తెలివైనవిగా మారతాయి.
అంశంపై అదనపు లింక్‌లు:
మూలం: www.habr.com