Kan en stjålet CA-nøgle til TLS-inspektion dekryptere optagede sessioner?

“En angriber stjal proxyens private nøgle” udelader den detalje, der afgør skaden: hvilken privat nøgle?

En inspekterende forward proxy kan indeholde en signeringsnøgle til en certifikatmyndighed, genererede servernøgler til certifikater, levende TLS-trafikhemmeligheder, materiale til sessionsgenoptagelse og klartekst i sin egen hukommelse eller sine logfiler. Det er forskellige aktiver.

CA-nøglen giver mulighed for at udgive sig for andre

Klienter, der er konfigureret til at stole på en inspektions-CA, kan acceptere certifikater udstedt under den, med forbehold for certifikatkædens begrænsninger og klientens kontroller. Den, der stjæler den tilsvarende signeringsnøgle, kan muligvis oprette andre acceptable certifikater inden for disse begrænsninger.

Det er alvorligt, men nøglen alene omdirigerer ikke brugerens forbindelse. Angriberen har også brug for en brugbar aflytningsposition eller en anden måde at få klienten til at forbinde til det efterlignede endepunkt. Programmer med yderligere certifikatkontroller kan afvise det.

En signeringsnøgle er ikke en dekrypteringsnøgle til en optagelse

I et certifikatbaseret TLS 1.3-håndtryk med efemær Diffie–Hellman autentificerer certifikatet udvekslingen. Trafiknøgler udledes af separate håndtrykshemmeligheder. At skaffe CA-signeringsnøglen senere genskaber ikke i sig selv de tidligere efemære hemmeligheder fra en optagelse.

Selv at stjæle servercertifikatets private nøgle svarer ikke til at få trafikhemmelighederne for den type optagede session. Generaliser ikke dette til enhver historisk TLS-tilstand eller enhver genoptagelsesopsætning; den forhandlede nøgleudveksling og det kompromitterede materiale er afgørende.

Et kompromis af det kørende inspektionsudstyr kan være meget bredere end tyveri af dets CA-nøgle. Udstyret håndterer klartekst, mens det inspicerer trafik, og kan indeholde sessionshemmeligheder eller opbevare dekrypteret indhold. De eksponeringer kræver deres egen undersøgelse og kan ikke afvises ved at henvise til forward secrecy.

Beskriv hændelsen præcist

Notér, om det tabte materiale var signeringsnøglen, endepunktsnøgler, levende hemmeligheder, lagret klartekst eller kontrol over selve udstyret. Udskiftning af inspektions-CA'en og opdatering af klienttillid håndterer én mulighed; det sletter ikke kopierede logfiler og afgør ikke, om levende trafik blev læst. Nøjagtige nøglenavne fører til et langt mere brugbart svar end at kalde enhver hemmelighed “SSL-nøglen”.