Kin in stellen TLS-ynspeksje-CA-kaai opnommen sesjes ûntsiferje?
Untskied it foech om fertroude ûnderskeppingssertifikaten út te jaan fan de geheimen dy't nedich binne om opnommen TLS-sesjes te ûntsiferjen.
„In oanfaller hat de priveekaai fan de proxy stellen“ lit it detail weilitten dat de skea bepaalt: hokker priveekaai?
In ynspektearjende proxy kin in ûndertekeningskaai fan in sertifikaatowerheid, oanmakke serverkaaien, libbene TLS-ferkiersgeheimen, materiaal foar sesjeferfanging en platte tekst yn syn eigen ûnthâld of logboeken hâlde. Dat binne ferskate besittings.
De CA-kaai jout in mooglikheid ta neibearting
Klanten dy't ynsteld binne om in ynspeksje-CA te fertrouwen, kinne sertifikaten akseptearje dy't dêrûnder útjûn binne, ûnder foarbehâld fan de beheiningen fan 'e sertifikaatketen en de kontrôles fan 'e klant. Wa't de oerienkommende ûndertekeningskaai stelt, kin miskien oare akseptabele sertifikaten meitsje binnen dy grinzen.
Dat is earnstich, mar de kaai allinne ferstjoert gjin ferbining fan in brûker. De oanfaller hat ek in brûkbere posysje foar ûnderskepping nedich of in oare manier om de klant nei it neibearte einpunt ferbine te litten. Tapassingen mei ekstra sertifikaatkontrôles kinne it wegerje.
In ûndertekeningskaai is gjin ûntsiferingskaai foar in opname
Yn in sertifikaat-ferifiearre TLS 1.3-handdruk mei efemere Diffie–Hellman autentisearret it sertifikaat de útwikseling. Ferkierskaaien wurde ôflaat fan aparte handdrukgeheimen. It letter bemachtigjen fan 'e CA-ûndertekeningskaai rekonstruearret dy eardere efemere geheimen op himsels net út in opname.
Sels it stellen fan 'e priveekaai fan it serversertifikaat is net gelyk oan it bemachtigjen fan 'e ferkiersgeheimen foar dat soarte opnommen sesje. Generalisearje dit net nei elke histoaryske TLS-modus of elke ferfangingsynstelling; de ûnderhannele kaai-útwikseling en it kompromittearre materiaal binne fan belang.
In kompromis fan 'e rinnende ynspeksjeapparaat kin folle breder wêze as stellerij fan syn CA-kaai. It apparaat hannelet platte tekst wylst it ferkier ynspektearret en kin sesjegeheimen hâlde of ûntsifere ynhâld bewarje. Dy bleatstellings freegje har eigen ûndersyk en kinne net fuortkommen wurde troch ferwizing nei foarútgeande geheimhâlding.
Beskriuw it foarfal krekt
Registrearje oft it ferlern materiaal de ûndertekeningskaai, einpuntkaaien, libbene geheimen, opslein platte tekst of kontrôle oer it apparaat sels wie. It ferfangen fan 'e ynspeksje-CA en it bywurkjen fan klantfertrouwen behannelet ien mooglikheid; it wisket gjin kopiearre logboeken en beslútet net oft libbend ferkier lêzen is. Krekte kaainammen liede ta in folle nuttiger antwurd as it neamen fan elk geheim „de SSL-kaai“.