Kan een gestolen CA-sleutel van TLS-inspectie opgenomen sessies ontsleutelen?

‘Een aanvaller stal de privésleutel van de proxy’ laat het detail weg dat de schade bepaalt: welke privésleutel?

Een inspecterende forward-proxy kan een ondertekeningssleutel van een certificaatautoriteit, gegenereerde serversleutels, live TLS-verkeersgeheimen, materiaal voor sessiehervatting en platte tekst in zijn eigen geheugen of logboeken houden. Dat zijn verschillende activa.

De CA-sleutel geeft een mogelijkheid tot nabootsing

Clients die zijn ingesteld om een inspectie-CA te vertrouwen, kunnen certificaten accepteren die daaronder zijn uitgegeven, binnen de beperkingen van de certificaatketen en de controles van de client. Wie de bijbehorende ondertekeningssleutel steelt, kan mogelijk andere aanvaardbare certificaten binnen die grenzen maken.

Dat is ernstig, maar de sleutel alleen leidt de verbinding van een gebruiker niet om. De aanvaller heeft ook een bruikbare onderscheppingspositie nodig of een andere manier om de client met het nagebootste eindpunt te laten verbinden. Applicaties met extra certificaatcontroles kunnen het weigeren.

Een ondertekeningssleutel is geen ontsleutelingssleutel voor een opname

In een met certificaat geauthenticeerde TLS 1.3-handshake met efemere Diffie–Hellman authenticeert het certificaat de uitwisseling. Verkeerssleutels worden afgeleid van afzonderlijke handshakegeheimen. Het later verkrijgen van de CA-ondertekeningssleutel reconstrueert op zichzelf die vroegere efemere geheimen niet uit een opname.

Zelfs het stelen van de privésleutel van het servercertificaat is niet gelijk aan het verkrijgen van de verkeersgeheimen voor dat type opgenomen sessie. Generaliseer dit niet naar elke historische TLS-modus of elke hervattingsconfiguratie; de onderhandelde sleuteluitwisseling en het gecompromitteerde materiaal zijn bepalend.

Een compromis van het draaiende inspectieapparaat kan veel breder zijn dan diefstal van zijn CA-sleutel. Het apparaat verwerkt platte tekst tijdens het inspecteren van verkeer en kan sessiegeheimen bevatten of ontsleutelde inhoud bewaren. Die blootstellingen vereisen hun eigen onderzoek en kunnen niet worden afgedaan met een beroep op voorwaartse geheimhouding.

Beschrijf het incident nauwkeurig

Noteer of het verloren materiaal de ondertekeningssleutel, eindpuntsleutels, live geheimen, opgeslagen platte tekst of de controle over het apparaat zelf was. Het vervangen van de inspectie-CA en het bijwerken van clientvertrouwen behandelt één mogelijkheid; het wist geen gekopieerde logboeken en beslist niet of live verkeer is gelezen. Nauwkeurige sleutelnamen leiden tot een veel bruikbaarder reactie dan elk geheim ‘de SSL-sleutel’ noemen.