TLS ikuskapenerako CA gako bat lapurtzeak grabaturiko saioak deszifratu ditzake?
Bereizi itzazu konfiantzazko intertzeptazio-ziurtagiriak jaulkitzeko ahalmena eta grabaturiko TLS saioak deszifratzeko behar diren sekretuak.
«Erasotzaile batek proxyaren gako pribatua lapurtu zuen» esaldiak kaltea zehazten duen xehetasuna isten du: zein gako pribatu?
Ikuskapen-proxy batek ziurtagiri-agintaritzaren sinadura-gakoa, sortutako zerbitzari-ziurtagirien gakoak, zuzeneko TLS trafikoaren sekretuak, saioak berriz hasteko materiala eta testu hutsa gorde ditzake bere memorian edo erregistroetan. Aktibo desberdinak dira.
CA gakoak nortasun-iruzurra egiteko gaitasuna ematen du
Ikuskapen-CA bat fidatzeko konfiguratuta dauden bezeroek haren pean jaulkitako ziurtagiriak onar ditzakete, ziurtagiri-katearen mugen eta bezeroaren egiaztapenen arabera. Sinadura-gakoa lapurtzen duenak baliozko beste ziurtagiri batzuk sor ditzake muga horien barruan.
Hori larria da, baina gakoak berak ez du erabiltzailearen konexioa berbideratzen. Erasotzaileak intertzeptaziorako posizio erabilgarri bat edo bezeroa imitaturiko amaierako puntura konektarazteko beste moduren bat behar du. Ziurtagiriaren egiaztapen gehigarriak dituzten aplikazioek atzera bota dezakete.
Sinadura-gakoa ez da transkripzioaren deszifratze-gakoa
Ziurtagiriak autentifikatutako TLS 1.3 eskuko heltzean Diffie–Hellman efimeroa erabiliz, ziurtagiriak trukea autentifikatzen du. Trafiko-gakoak eskuko heltzeko sekretu bereizietatik eratortzen dira. CA sinadura-gakoa geroago lortzeak ez ditu berak, berez, iraganeko sekretu efimero horiek grabatutako fitxategitik berreraikitzen.
Zerbitzari-ziurtagiriaren gako pribatua lapurtzea ere ez da baliokidea saio grabatu mota horretarako trafiko-sekretuak lortzearekin. Ez orokortu hau TLS modu historiko guztietara edo berriz hasierako konfigurazio guztietara; negoziatutako gako-trukea eta konprometitutako materiala dira garrantzitsuak.
Martxan dagoen ikuskapen-gailuaren konpromisoa bere CA gakoaren lapurreta baino askoz zabalagoa izan daiteke. Gailuak testu hutsa erabiltzen du trafikoa ikuskatzean eta saio-sekretuak gorde edo deszifratutako edukia atxiki dezake. Esposizio horiek beren ikerketa behar dute eta ezin dira baztertu aurreranzko konfidentzialtasuna aipatuz.
Deskribatu gertakaria zehaztasunez
Erregistratu galdutako materiala sinadura-gakoa, amaierako puntuen gakoak, zuzeneko sekretuak, gordetako testu hutsa edo gailuaren beraren kontrola izan zen. Ikuskapen-CA ordezkatzeak eta bezeroen konfiantza eguneratzeak gaitasun bat soilik lantzen du; ez ditu kopiatutako erregistroak ezabatzen ez eta zuzeneko trafikoa irakurri zen erabakitzen. Gako-izen zehatzek askoz erantzun erabilgarriagoa ematen dute sekretu guztiei «SSL gakoa» deitzeak baino.