Kann ein stolið TLS-vaktar-CA-lykil avklára upptøkar?
Skilja valdið at geva álítandi trupp-tygilskir frá teimum loyniligheitum, sum tørvur er á at avklára upptøkar TLS-samrøður.
„Ein ágangari stjól privata lykilin hjá proxynum“ sleppir tí smálut, sum ásetur skaðan: hvør privati lykilin?
Ein vaktandi proxy kann halda einum undirskriftarlykli hjá eini certifikat-myndigheit, framleiddum servara-certifikatslyklum, livandi TLS-ferðsluloyniligheitum, tilfari til at halda fram samrøðum og klárteksti í minninum ella loggum sínum. Hesi eru ymisk virði.
CA-lykilin gevur møguleika at spæla annan
Klientar, sum eru settir upp at líta á eina vaktar-CA, kunnu góðtaka tygilskir útgivnar undir henni, við fyrivarni fyri avmarkingum tygilskjarðarinnar og eftirliti klientans. Tann, sum stelur samsvarandi undirskriftarlyklinum, kann møguliga gera aðrar góðkendar tygilskir innan hesar avmarkingar.
Tað er álvarsamt, men lykilin sjálvur umstýrir ikki sambandinum hjá brúkaranum. Ágangarin tørvar eisini eina nýtiliga trupp-støðu ella aðra leið at fáa klientan at binda seg til tað efirlíkna endapunktið. Støddir við eyka-tygilskeftirliti kunnu vraka tí.
Ein undirskriftarlykil er ikki ein upptøku-avkláringarlykil
Í einum tygilsváttdum TLS 1.3-hondslagi við fyribils Diffie–Hellman váttar tygilskurðin umskiptið. Ferðslulyklar eru avleiddir úr serstøkum handslagsloyniligheitum. At fáa CA-undirskriftarlykilin seinni endurbygger ikki sjálvt teir fyrrverandi fyribils loyniligheitirnar úr einari upptøku.
Sjálvt at stela privata lyklinum at servaratygilskrini er ikki tað sama sum at fáa ferðsluloyniligheitirnar fyri tann sláttin av upptøkari samrøðu. Almenna ikki hetta til allar søguligar TLS-stillingar ella allar framhaldssetingar; tað samrádda lykla-umskiptið og tað viðkomandi tilfarið merkja nakað.
Ein skaði á tí koyrandi vaktartólinum kann vera nógv víðfevdari enn stuldur av CA-lyklinum tess. Tólið viðger klártekst, meðan tað vaktar ferðslu, og kann halda samrøðuloyniligheitir ella goyma avklárað innihald. Hesar avdúkingar krevja sína egnu kanning og kunnu ikki avvísast við at vísa til framtíðarloyniligheit.
Lýs hendingina nágreiniliga
Skráset, um tað misti tilfarið var undirskriftarlykilin, endapunktalyklar, livandi loyniligheitir, goymdur klártekstur ella stýringin av tólinum sjálvum. At skifta vaktar-CA og dagføra klientatrúgv viðger eitt førleika; tað strokar ikki avskrivaðar loggar og avgreiðir ikki, um livandi ferðsla varð lisin. Nágreinilig lyklaheiti geva nógv nyttigari svar enn at kalla hvørja loyniligheit „SSL-lykilin“.