Ұрланған TLS тексеру CA кілті жазылған сессияларды шифрдан шығара ала ма?
Сенімді аралыққа алу сертификаттарын беру өкілеттігін жазылған TLS сессияларын шифрдан шығаруға қажетті құпиялардан ажыратыңыз.
«Шабуылдаушы проксидің жеке кілтін ұрлады» деген сөйлем зиянды айқындайтын бөлшекті қалдырады: қай жеке кілт?
Тексеретін прокси сертификат органының қолтаңба кілтін, жасалған сервер сертификатының кілттерін, нақты уақыттағы TLS трафигінің құпияларын, сессияны жалғастыру материалын және ашық мәтінді өз жадысында немесе журналдарында ұстауы мүмкін. Бұлар түрлі активтер.
CA кілті басқа адам болып көріну мүмкіндігін береді
Тексеру CA-сына сенуге бапталған клиенттер оның астында берілген сертификаттарды қабылдай алады, сертификат тізбегінің шектеулері мен клиенттің тексерулеріне байланысты. Сәйкес қолтаңба кілтін ұрлаған адам сол шектеулерде басқа қабылданатын сертификаттар жасай алуы мүмкін.
Бұл ауыр, бірақ кілт жалғыз өзі пайдаланушының қосылымын басқа жаққа бұрмайды. Шабуылдаушыға пайдалануға жарамды аралыққа алу орны немесе клиентті көшірілген соңғы нүктеге қосудың басқа жолы да керек. Қосымша сертификат тексерулері бар қолданбалар оны қабылдамауы мүмкін.
Қолтаңба кілті жазбаны шифрдан шығару кілті емес
Сертификатпен аутентификацияланған TLS 1.3 қол алысуында уақытша Diffie–Hellman қолданылса, сертификат алмасуды аутентификациялайды. Трафик кілттері жеке қол алысу құпияларынан туындайды. CA қолтаңба кілтін кейін алу өздігінен жазудан сол бұрынғы уақытша құпияларды қайта құрмайды.
Тіпті сервер сертификатының жеке кілтін ұрлау да сол типтегі жазылған сессияның трафик құпияларын алуға тең емес. Мұны барлық тарихи TLS режиміне немесе барлық жалғастыру баптауына жалпыламаңыз; келісілген кілт алмасу және бұзылған материал маңызды.
Жұмыс істеп тұрған тексеру құрылғысының бұзылуы оның CA кілтінің ұрлануынан әлдеқайда кең болуы мүмкін. Құрылғы трафикті тексере отырып ашық мәтінмен жұмыс істейді және сессия құпияларын ұстауы немесе шифры шешілген мазмұнды сақтауы мүмкін. Бұл әшкереленулер жеке зерттеуді талап етеді және алға қарай құпиялылыққа сілтеме жасап теріске шығаруға болмайды.
Оқиғаны дәл сипаттаңыз
Жоғалған материал қолтаңба кілті ме, соңғы нүкте кілттері ме, нақты уақыттағы құпиялар ма, сақталған ашық мәтін бе әлде құрылғының өзін басқару ма — жазып алыңыз. Тексеру CA-сын ауыстыру және клиент сенімін жаңарту бір мүмкіндікті шешеді; ол көшірілген журналдарды өшірмейді және нақты уақыттағы трафик оқылды ма екенін шешпейді. Дәл кілт атаулары әрбір құпияны «SSL кілті» деп атағаннан әлдеқайда пайдалы жауапқа әкеледі.