চুৰি হোৱা TLS পৰিদৰ্শন CA key এ ৰেকৰ্ড কৰা ছেছন ডিক্ৰিপ্ট কৰিব পাৰেনে?

“এজন আক্ৰমণকাৰীয়ে প্ৰক্সিৰ private key চুৰি কৰিলে” বাক্যই ক্ষতিটো নিৰ্ধাৰণ কৰা বিতংটো এৰি দিয়ে: কোনটো private key?

পৰিদৰ্শন কৰা forward proxy এ এটা certificate-authority signing key, সৃষ্টি কৰা server certificate key, জীৱন্ত TLS traffic secret, session-resumption material আৰু plaintext নিজৰ memory বা log ত ৰাখিব পাৰে। এইবোৰ পৃথক সম্পদ।

CA key এ নকল কৰাৰ ক্ষমতা দিয়ে

পৰিদৰ্শন CA লৈ বিশ্বাস কৰিবলৈ সংৰূপিত client সকলে তাৰ অধীনত ইস্যু কৰা certificate গ্ৰহণ কৰিব পাৰে, certificate chain ৰ সীমা আৰু client ৰ পৰীক্ষাৰ অধীনত। সংশ্লিষ্ট signing key চুৰি কৰা মানুহে সেই সীমাৰ ভিতৰত অন্য গ্ৰহণযোগ্য certificate সৃষ্টি কৰিব পাৰে।

এইটো গুৰুতৰ, কিন্তু key টোৱে অকলেই ব্যৱহাৰকাৰীৰ সংযোগ পুনৰনিৰ্দেশিত নকৰে। আক্ৰমণকাৰীৰ এটা ব্যৱহাৰযোগ্য interception অৱস্থান বা client ক নকল কৰা endpoint লৈ সংযোগ কৰোৱাৰ অন্য উপায়ো প্ৰয়োজন। অতিৰিক্ত certificate পৰীক্ষা থকা application এ ইয়াক নাকচ কৰিব পাৰে।

Signature key টো transcript decryption key নহয়

ephemeral Diffie–Hellman ব্যৱহাৰ কৰা certificate-প্ৰমাণিত TLS 1.3 handshake ত certificate এ বিনিময়টো প্ৰমাণিত কৰে। Traffic key বোৰ পৃথক handshake secret ৰ পৰা উৎপন্ন হয়। পিছত CA signing key পোৱাটোৱে নিজেই ৰেকৰ্ডিঙৰ পৰা সেই অতীতৰ ephemeral secret বোৰ পুনৰ গঢ়ি নুতুলে।

server certificate ৰ private key চুৰি কৰাও সেই ধৰণৰ ৰেকৰ্ড কৰা ছেছনৰ traffic secret পোৱাৰ সমান নহয়। ইয়াক প্ৰতিটো ঐতিহাসিক TLS mode বা প্ৰতিটো resumption setup লৈ সাধাৰণীকৰণ নকৰিব; আলোচনা কৰা key exchange আৰু ক্ষতিগ্ৰস্ত material এয়া গুৰুত্বপূৰ্ণ।

চলি থকা পৰিদৰ্শন appliance এটাৰ ক্ষতি তাৰ CA key চুৰিৰ পৰা বহুত বেছি বিস্তৃত হ’ব পাৰে। appliance এ traffic পৰিদৰ্শন কৰাৰ সময়ত plaintext লৈ চলে আৰু session secret ৰাখিব পাৰে বা decrypted content সংৰক্ষণ কৰিব পাৰে। সেই প্ৰকাশবোৰৰ নিজাকৈ তদন্ত প্ৰয়োজন আৰু forward secrecy উল্লেখ কৰি ইয়াক এৰাই চলিব নোৱাৰি।

ঘটনাটো সঠিকভাৱে বৰ্ণনা কৰক

হেৰোৱা material টো signing key, endpoint key, জীৱন্ত secret, সংৰক্ষিত plaintext বা appliance ৰ নিয়ন্ত্ৰণ আছিল নে নাই লিপিবদ্ধ কৰক। পৰিদৰ্শন CA সলনি কৰা আৰু client বিশ্বাস আপডেট কৰা এটা ক্ষমতাৰ সমাধান; ই কপি কৰা log মচি নেপেলায় বা জীৱন্ত traffic পঢ়া হৈছিল নে নাই নিৰ্ণয় নকৰে। সঠিক key নামে প্ৰতিটো secret ক “SSL key” বুলি কোৱাতকৈ বহুত বেছি উপযোগী সঁহাৰি দিয়ে।