Уурдалган TLS текшерүү CA ачкычы жазылган сессияларды чечмелей алабы?
Ишенимдүү кармоо сертификаттарын берүү ыйгарым укугун жазылган TLS сессияларын чечмелөө үчүн керектүү сырлардан ажыратыңыз.
«Чабуулчу проксинин жеке ачкычын уурдады» деген сүйлөм зыянды аныктаган деталды калтырат: кайсы жеке ачкыч?
Текшерүүчү прокси сертификат органынын кол тамга ачкычын, жаралган сервер сертификатынын ачкычтарын, реалдуу убакыттагы TLS трафигинин сырларын, сессияны улантуу материалын жана ачык текстти өз эсинде же журналдарында сакташы мүмкүн. Булар ар башка активдер.
CA ачкычы башка адам болуп көрүнүү мүмкүнчүлүгүн берет
Текшерүү CAсына ишенүүгө жөндөлгөн кардарлар анын астында берилген сертификаттарды кабыл ала алышат, сертификат чынжырынын чектөөлөрү жана кардардын текшерүүлөрү шартында. Тиешелүү кол тамга ачкычын уурдаган адам ошол чектерде башка кабыл алынуучу сертификаттарды түзө алат.
Бул олуттуу, бирок ачкыч жалгыз өзү колдонуучунун туташуусун башка жакка бура албайт. Чабуулчуга колдонууга жарактуу кармоо позициясы же кардарды окшоштурулган акыркы чекитке туташтыруунун башка жолу да керек. Кошумча сертификат текшерүүлөрү бар колдонмолор аны четке кагышы мүмкүн.
Кол тамга ачкычы жазууну чечмелөө ачкычы эмес
Сертификат менен аныкталган TLS 1.3 кол кармашуусунда убактылуу Diffie–Hellman колдонулса, сертификат алмашууну аныктайт. Трафик ачкычтары өзүнчө кол кармашуу сырларынан келип чыгат. CA кол тамга ачкычын кийин алуу өзү менен эле жазуудан ошол мурунку убактылуу сырларды кайра кура албайт.
Сервер сертификатынын жеке ачкычын уурдоо да ошондой типтеги жазылган сессиянын трафик сырларын алууга барабар эмес. Муну бардык тарыхый TLS режимдерине же бардык улантуу жөндөөлөрүнө жалпылабаңыз; келишилген ачкыч алмашуу жана бузулган материал маанилүү.
Иштеп жаткан текшерүү түзмөгүнүн бузулушу анын CA ачкычынын уурдалышынан алда канча кенен болушу мүмкүн. Түзмөк трафикти текшерүүдө ачык текст менен иштейт жана сессия сырларын сакташы же чечмеленген мазмунду сакташы мүмкүн. Бул ачыкка чыгуулар өзүнчө иликтөөнү талап кылат жана алдыга карай жашыруундукка шилтеме кылып четке кагууга болбойт.
Окуяны так сүрөттөңүз
Жоголгон материал кол тамга ачкычыбы, акыркы чекит ачкычтарыбы, реалдуу сырларбы, сакталган ачык текстпи же түзмөктүн өзүн башкаруубу экенин жазып алыңыз. Текшерүү CAсын алмаштыруу жана кардар ишенимин жаңыртуу бир мүмкүнчүлүктү чечет; ал көчүрүлгөн журналдарды өчүрбөйт жана реалдуу трафик окулдубу деп чечпейт. Так ачкыч аттары ар бир сырды «SSL ачкычы» деп атоого караганда алда канча пайдалуу жоопко алып келет.