Хулгайлагдсан TLS шалгалтын CA түлхүүр бичигдсэн сессийг тайлж чадах уу?
Итгэмжлэгдсэн таслан саатуулах гэрчилгээ олгох эрхийг бичигдсэн TLS сессийг тайлахад шаардлагатай нууцаас ялгана уу.
„Халдагч проксийн хувийн түлхүүрийг хулгайлсан“ гэдэг нь хохирлыг тодорхойлдог нарийн ширийг орхигдуулдаг: аль хувийн түлхүүр?
Шалгадаг прокси нь гэрчилгээ олгогчийн гарын үсгийн түлхүүр, үүсгэсэн серверийн гэрчилгээний түлхүүр, амьд TLS урсгалын нууц, сессийг үргэлжлүүлэх материал, задгай текстийг өөрийн санах ой эсвэл бүртгэлд хадгалж болно. Эдгээр нь өөр өөр хөрөнгө юм.
CA түлхүүр нь өөр хүн мэт харагдах боломж олгодог
Шалгалтын CA-д итгэхээр тохируулсан клиентүүд түүний доор олгогдсон гэрчилгээг хүлээн авч болно, гэрчилгээний хэлхээний хязгаарлалт болон клиентийн шалгалтад захирагдана. Харгалзах гарын үсгийн түлхүүрийг хулгайлсан хүн эдгээр хязгаарт бусад хүлээн зөвшөөрөгдөх гэрчилгээ үүсгэж болно.
Энэ нь ноцтой, гэхдээ түлхүүр дангаараа хэрэглэгчийн холболтыг өөр тийш чиглүүлэхгүй. Халдагчид ашиглах боломжтой таслан саатуулах байрлал эсвэл клиентийг хуурамч төгсгөлийн цэгт холбох өөр арга мөн хэрэгтэй. Нэмэлт гэрчилгээний шалгалттай програмууд үүнийг татгалзаж болно.
Гарын үсгийн түлхүүр нь бичлэг тайлах түлхүүр биш
Гэрчилгээгээр баталгаажсан TLS 1.3 гар барилтын үед түр зуурын Diffie–Hellman ашиглавал гэрчилгээ солилцоог баталгаажуулна. Урсгалын түлхүүрүүд тусдаа гар барилтын нууцаас үүсдэг. CA гарын үсгийн түлхүүрийг дараа нь авах нь бичлэгээс тэр өнгөрсөн түр зуурын нууцыг өөрөө дахин бүтээхгүй.
Серверийн гэрчилгээний хувийн түлхүүрийг хулгайлах ч тухайн төрлийн бичигдсэн сессийн урсгалын нууцыг авахтай тэнцэхгүй. Үүнийг бүх түүхэн TLS горим эсвэл бүх үргэлжлүүлэх тохиргоонд ерөнхийлж болохгүй; тохиролцсон түлхүүр солилцоо болон эвдэрсэн материал чухал.
Ажиллаж буй шалгалтын төхөөрөмжийн эвдрэл нь түүний CA түлхүүрийн хулгайгаас хамаагүй өргөн байж болно. Төхөөрөмж урсгалыг шалгахдаа задгай тексттэй ажилладаг бөгөөд сессийн нууцыг хадгалах эсвэл тайлагдсан агуулгыг хадгалж болно. Эдгээр илрэлтүүд өөрийн шалгалтыг шаарддаг бөгөөд урагшлах нууцлалд иш татаж хасаж болохгүй.
Хэргийг нарийн тодорхойл
Алдагдсан материал нь гарын үсгийн түлхүүр, төгсгөлийн цэгийн түлхүүр, амьд нууц, хадгалсан задгай текст эсвэл төхөөрөмжийн өөрийнх нь хяналт байсан эсэхийг бүртгэ. Шалгалтын CA-г солих, клиентийн итгэлийг шинэчлэх нь нэг боломжийг шийднэ; энэ нь хуулагдсан бүртгэлийг устгахгүй, амьд урсгал уншигдсан эсэхийг шийдэхгүй. Тодорхой түлхүүрийн нэр нь нууц бүрийг „SSL түлхүүр“ гэж нэрлэхээс хамаагүй ашигтай хариу үйлдэлд хүргэдэг.