ਕੀ ਚੋਰੀ ਹੋਈ TLS ਨਿਰੀਖਣ CA ਕੁੰਜੀ ਰਿਕਾਰਡ ਕੀਤੇ ਸੈਸ਼ਨ ਡਿਕ੍ਰਿਪਟ ਕਰ ਸਕਦੀ ਹੈ?

“ਹਮਲਾਵਰ ਨੇ ਪ੍ਰੌਕਸੀ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਚੋਰੀ ਕੀਤੀ” ਉਹ ਤਫ਼ਸੀਲ ਛੱਡ ਦਿੰਦਾ ਹੈ ਜੋ ਨੁਕਸਾਨ ਤੈਅ ਕਰਦੀ ਹੈ: ਕਿਹੜੀ ਨਿੱਜੀ ਕੁੰਜੀ?

ਨਿਰੀਖਣ ਕਰਨ ਵਾਲੀ ਪ੍ਰੌਕਸੀ ਸਰਟੀਫਿਕੇਟ ਅਧਿਕਾਰੀ ਦੀ ਦਸਤਖ਼ਤ ਕੁੰਜੀ, ਬਣਾਈਆਂ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਕੁੰਜੀਆਂ, ਲਾਈਵ TLS ਟ੍ਰੈਫਿਕ ਭੇਦ, ਸੈਸ਼ਨ ਮੁੜ-ਸ਼ੁਰੂ ਕਰਨ ਦੀ ਸਮੱਗਰੀ ਅਤੇ ਸਾਦਾ ਟੈਕਸਟ ਆਪਣੀ ਯਾਦਦਾਸ਼ਤ ਜਾਂ ਲੌਗ ਵਿੱਚ ਰੱਖ ਸਕਦੀ ਹੈ। ਇਹ ਵੱਖਰੀਆਂ ਸੰਪਤੀਆਂ ਹਨ।

CA ਕੁੰਜੀ ਹੋਰ ਦੇ ਰੂਪ ਵਿੱਚ ਦਿਖਣ ਦੀ ਸਮਰੱਥਾ ਦਿੰਦੀ ਹੈ

ਨਿਰੀਖਣ CA ਉੱਤੇ ਭਰੋਸਾ ਕਰਨ ਲਈ ਸੈੱਟ ਕੀਤੇ ਕਲਾਇੰਟ ਉਸ ਦੇ ਹੇਠ ਜਾਰੀ ਸਰਟੀਫਿਕੇਟ ਸਵੀਕਾਰ ਕਰ ਸਕਦੇ ਹਨ, ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਦੀਆਂ ਸੀਮਾਵਾਂ ਅਤੇ ਕਲਾਇੰਟ ਦੀਆਂ ਜਾਂਚਾਂ ਦੇ ਅਧੀਨ। ਸੰਬੰਧਿਤ ਦਸਤਖ਼ਤ ਕੁੰਜੀ ਚੋਰੀ ਕਰਨ ਵਾਲਾ ਉਨ੍ਹਾਂ ਸੀਮਾਵਾਂ ਵਿੱਚ ਹੋਰ ਸਵੀਕਾਰਯੋਗ ਸਰਟੀਫਿਕੇਟ ਬਣਾ ਸਕਦਾ ਹੈ।

ਇਹ ਗੰਭੀਰ ਹੈ, ਪਰ ਕੁੰਜੀ ਇਕੱਲੀ ਵਰਤੋਂਕਾਰ ਦਾ ਕਨੈਕਸ਼ਨ ਨਹੀਂ ਮੋੜਦੀ। ਹਮਲਾਵਰ ਨੂੰ ਵਰਤੋਂਯੋਗ ਇੰਟਰਸੈਪਸ਼ਨ ਥਾਂ ਜਾਂ ਕਲਾਇੰਟ ਨੂੰ ਨਕਲੀ ਐਂਡਪੌਇੰਟ ਨਾਲ ਜੋੜਨ ਦਾ ਹੋਰ ਤਰੀਕਾ ਵੀ ਚਾਹੀਦਾ ਹੈ। ਵਾਧੂ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚਾਂ ਵਾਲੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਇਸ ਨੂੰ ਰੱਦ ਕਰ ਸਕਦੀਆਂ ਹਨ।

ਦਸਤਖ਼ਤ ਕੁੰਜੀ ਟ੍ਰਾਂਸਕ੍ਰਿਪਟ ਡਿਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀ ਨਹੀਂ

ਸਰਟੀਫਿਕੇਟ-ਪ੍ਰਮਾਣਿਤ TLS 1.3 ਹੈਂਡਸ਼ੇਕ ਵਿੱਚ ਆਰਜ਼ੀ Diffie–Hellman ਵਰਤਿਆ ਜਾਵੇ ਤਾਂ ਸਰਟੀਫਿਕੇਟ ਵਟਾਂਦਰੇ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ। ਟ੍ਰੈਫਿਕ ਕੁੰਜੀਆਂ ਵੱਖਰੇ ਹੈਂਡਸ਼ੇਕ ਭੇਦਾਂ ਤੋਂ ਬਣਦੀਆਂ ਹਨ। ਬਾਅਦ ਵਿੱਚ CA ਦਸਤਖ਼ਤ ਕੁੰਜੀ ਲੈਣਾ ਆਪਣੇ ਆਪ ਰਿਕਾਰਡਿੰਗ ਤੋਂ ਉਹ ਪੁਰਾਣੇ ਆਰਜ਼ੀ ਭੇਦ ਦੁਬਾਰਾ ਨਹੀਂ ਬਣਾਉਂਦਾ।

ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਚੋਰੀ ਕਰਨਾ ਵੀ ਉਸ ਕਿਸਮ ਦੇ ਰਿਕਾਰਡ ਕੀਤੇ ਸੈਸ਼ਨ ਦੇ ਟ੍ਰੈਫਿਕ ਭੇਦ ਲੈਣ ਦੇ ਬਰਾਬਰ ਨਹੀਂ। ਇਸ ਨੂੰ ਹਰ ਇਤਿਹਾਸਕ TLS ਮੋਡ ਜਾਂ ਹਰ ਮੁੜ-ਸ਼ੁਰੂ ਸੈੱਟਅੱਪ ਉੱਤੇ ਆਮ ਨਾ ਕਰੋ; ਗੱਲਬਾਤ ਕੀਤਾ ਕੁੰਜੀ ਵਟਾਂਦਰਾ ਅਤੇ ਸਮਝੌਤਾ ਹੋਈ ਸਮੱਗਰੀ ਮਾਅਨੇ ਰੱਖਦੇ ਹਨ।

ਚੱਲ ਰਹੇ ਨਿਰੀਖਣ ਯੰਤਰ ਦਾ ਸਮਝੌਤਾ ਉਸ ਦੀ CA ਕੁੰਜੀ ਦੀ ਚੋਰੀ ਨਾਲੋਂ ਕਿਤੇ ਵੱਧ ਵਿਆਪਕ ਹੋ ਸਕਦਾ ਹੈ। ਯੰਤਰ ਟ੍ਰੈਫਿਕ ਨਿਰੀਖਣ ਕਰਦਿਆਂ ਸਾਦਾ ਟੈਕਸਟ ਸੰਭਾਲਦਾ ਹੈ ਅਤੇ ਸੈਸ਼ਨ ਭੇਦ ਰੱਖ ਸਕਦਾ ਹੈ ਜਾਂ ਡਿਕ੍ਰਿਪਟ ਸਮੱਗਰੀ ਸੰਭਾਲ ਸਕਦਾ ਹੈ। ਉਹ ਖੁਲਾਸਿਆਂ ਦੀ ਆਪਣੀ ਜਾਂਚ ਲੋੜੀਂਦੀ ਹੈ ਅਤੇ ਅੱਗੇ ਵੱਲ ਗੋਪਨੀਯਤਾ ਦਾ ਹਵਾਲਾ ਦੇ ਕੇ ਉਨ੍ਹਾਂ ਨੂੰ ਟਾਲਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ।

ਘਟਨਾ ਦਾ ਸਹੀ ਵਰਣਨ ਕਰੋ

ਦਰਜ ਕਰੋ ਕਿ ਗੁੰਮ ਸਮੱਗਰੀ ਦਸਤਖ਼ਤ ਕੁੰਜੀ, ਐਂਡਪੌਇੰਟ ਕੁੰਜੀਆਂ, ਲਾਈਵ ਭੇਦ, ਸੰਭਾਲਿਆ ਸਾਦਾ ਟੈਕਸਟ ਜਾਂ ਯੰਤਰ ਦਾ ਕੰਟਰੋਲ ਸੀ। ਨਿਰੀਖਣ CA ਬਦਲਣਾ ਅਤੇ ਕਲਾਇੰਟ ਭਰੋਸਾ ਅੱਪਡੇਟ ਕਰਨਾ ਇੱਕ ਸਮਰੱਥਾ ਨੂੰ ਸੰਬੋਧਿਤ ਕਰਦਾ ਹੈ; ਇਹ ਨਕਲ ਕੀਤੇ ਲੌਗ ਨਹੀਂ ਮਿਟਾਉਂਦਾ ਅਤੇ ਇਹ ਤੈਅ ਨਹੀਂ ਕਰਦਾ ਕਿ ਲਾਈਵ ਟ੍ਰੈਫਿਕ ਪੜ੍ਹਿਆ ਗਿਆ ਸੀ ਜਾਂ ਨਹੀਂ। ਸਹੀ ਕੁੰਜੀ ਨਾਮ ਹਰ ਭੇਦ ਨੂੰ “SSL ਕੁੰਜੀ” ਕਹਿਣ ਨਾਲੋਂ ਕਿਤੇ ਵੱਧ ਲਾਹੇਵੰਦ ਜਵਾਬ ਵੱਲ ਲੈ ਜਾਂਦੇ ਹਨ।