Kan en stjålet CA-nøkkel for TLS-inspeksjon dekryptere opptak av økter?

«En angriper stjal proxyens private nøkkel» utelater detaljen som avgjør skaden: hvilken privat nøkkel?

En inspeksjonsproxy kan holde en signeringsnøkkel for en sertifikatmyndighet, genererte servernøkler, levende TLS-trafikkhemmeligheter, materiale for gjenopptak av økter og klartekst i eget minne eller egne logger. Dette er forskjellige verdier.

CA-nøkkelen gir mulighet for å utgi seg for andre

Klienter som er satt opp til å stole på en inspeksjons-CA, kan godta sertifikater utstedt under den, med forbehold om sertifikatkjedens begrensninger og klientens kontroller. Den som stjeler den tilhørende signeringsnøkkelen, kan kanskje lage andre akseptable sertifikater innenfor disse grensene.

Det er alvorlig, men nøkkelen alene omdirigerer ikke brukerens tilkobling. Angriperen trenger også en brukbar avlyttingsposisjon eller en annen måte å få klienten til å koble til det etterlignede endepunktet. Applikasjoner med ekstra sertifikatkontroller kan avvise det.

En signeringsnøkkel er ikke en dekrypteringsnøkkel for et opptak

I et sertifikatautentisert TLS 1.3-håndtrykk med ephemeral Diffie–Hellman autentiserer sertifikatet utvekslingen. Trafikknøkler utledes fra separate håndtrykkhemmeligheter. Å skaffe CA-signeringsnøkkelen senere gjenoppretter ikke i seg selv de tidligere ephemerale hemmelighetene fra et opptak.

Selv å stjele serverens sertifikatprivate nøkkel er ikke det samme som å få trafikkhemmelighetene for den typen opptatte økt. Ikke generaliser dette til hver historisk TLS-modus eller hver gjenopptaksoppsett; den forhandlede nøkkelutvekslingen og det kompromitterte materialet er det som teller.

Et kompromiss av det kjørende inspeksjonsutstyret kan være mye bredere enn tyveri av CA-nøkkelen. Utstyret håndterer klartekst mens det inspiserer trafikk, og kan holde økthemmeligheter eller oppbevare dekryptert innhold. Disse eksponeringene krever egen etterforskning og kan ikke avvises ved å vise til forward secrecy.

Beskriv hendelsen presist

Noter om det tapte materialet var signeringsnøkkelen, endepunktnøkler, levende hemmeligheter, lagret klartekst eller kontroll over selve utstyret. Å bytte ut inspeksjons-CA-en og oppdatere klienttillit håndterer én mulighet; det sletter ikke kopierte logger og avgjør ikke om levende trafikk ble lest. Nøyaktige nøkkelnavn fører til en langt mer nyttig respons enn å kalle hver hemmelighet «SSL-nøkkelen».