के चोरी भएको TLS निरीक्षण CA कुञ्जीले रेकर्ड गरिएका सत्रहरू डिक्रिप्ट गर्न सक्छ?

“आक्रमणकारीले प्रोक्सीको निजी कुञ्जी चोर्यो” भन्ने वाक्यले क्षतिको निर्धारण गर्ने विवरण छुटाउँछ: कुन निजी कुञ्जी?

निरीक्षण गर्ने प्रोक्सीले प्रमाणपत्र प्राधिकरणको हस्ताक्षर कुञ्जी, सिर्जना गरिएका सर्भर प्रमाणपत्र कुञ्जीहरू, प्रत्यक्ष TLS ट्राफिकका रहस्यहरू, सत्र पुनःसुरु गर्ने सामग्री र सादा पाठ आफ्नै स्मृति वा लगमा राख्न सक्छ। यी फरक सम्पत्ति हुन्।

CA कुञ्जीले अरूको रूप धारण गर्ने क्षमता दिन्छ

निरीक्षण CA माथि विश्वास गर्न कन्फिगर गरिएका ग्राहकहरूले त्यसअन्तर्गत जारी प्रमाणपत्रहरू स्वीकार गर्न सक्छन्, प्रमाणपत्र शृंखलाका सीमा र ग्राहकका जाँचहरूको अधीनमा। सम्बन्धित हस्ताक्षर कुञ्जी चोर्नेले ती सीमाभित्र अन्य स्वीकार्य प्रमाणपत्रहरू सिर्जना गर्न सक्छ।

यो गम्भीर छ, तर कुञ्जी मात्रले प्रयोगकर्ताको जडान मोड्दैन। आक्रमणकारीलाई प्रयोगयोग्य इन्टरसेप्शन स्थान वा ग्राहकलाई नक्कली अन्त्य बिन्दुमा जोड्ने अर्को तरिका पनि चाहिन्छ। थप प्रमाणपत्र जाँच भएका अनुप्रयोगहरूले अस्वीकार गर्न सक्छन्।

हस्ताक्षर कुञ्जी ट्रान्स्क्रिप्ट डिक्रिप्शन कुञ्जी होइन

प्रमाणपत्र-प्रमाणित TLS 1.3 ह्यान्डशेकमा क्षणिक Diffie–Hellman प्रयोग गर्दा प्रमाणपत्रले आदानप्रदान प्रमाणित गर्छ। ट्राफिक कुञ्जीहरू छुट्टै ह्यान्डशेक रहस्यहरूबाट उत्पन्न हुन्छन्। पछि CA हस्ताक्षर कुञ्जी प्राप्त गर्दा रेकर्डिङबाट ती पुराना क्षणिक रहस्यहरू आफै पुनर्निर्माण हुँदैनन्।

सर्भर प्रमाणपत्रको निजी कुञ्जी चोर्नु पनि त्यस्तो प्रकारको रेकर्ड गरिएको सत्रको ट्राफिक रहस्य प्राप्त गर्नुसरह हुँदैन। यसलाई हरेक ऐतिहासिक TLS मोड वा हरेक पुनःसुरु सेटअपमा सामान्यीकरण नगर्नुहोस्; वार्ता गरिएको कुञ्जी आदानप्रदान र सम्झौता भएको सामग्री महत्त्वपूर्ण छन्।

चलिरहेको निरीक्षण उपकरणको सम्झौता यसको CA कुञ्जीको चोरीभन्दा धेरै व्यापक हुन सक्छ। उपकरणले ट्राफिक निरीक्षण गर्दा सादा पाठ सम्हाल्छ र सत्र रहस्य राख्न वा डिक्रिप्ट गरिएको सामग्री सुरक्षित राख्न सक्छ। ती एक्सपोजरहरूको आफ्नै अनुसन्धान आवश्यक छ र अगाडिको गोपनीयताको हवाला दिएर हटाउन सकिँदैन।

घटनाको सटीक वर्णन गर्नुहोस्

हराएको सामग्री हस्ताक्षर कुञ्जी, अन्त्य बिन्दुका कुञ्जी, प्रत्यक्ष रहस्य, भण्डारण गरिएको सादा पाठ वा उपकरणको नियन्त्रण थियो कि भनेर अभिलेख गर्नुहोस्। निरीक्षण CA बदल्नु र ग्राहक विश्वास अद्यावधिक गर्नु एउटा क्षमताको समाधान हो; यसले प्रतिलिपि गरिएका लग मेटाउँदैन वा प्रत्यक्ष ट्राफिक पढिएको थियो कि भनेर निर्धारण गर्दैन। सही कुञ्जी नामहरूले हरेक रहस्यलाई “SSL कुञ्जी” भन्नुभन्दा धेरै उपयोगी प्रतिक्रिया दिन्छन्।