සොරකම් කළ TLS පරීක්ෂණ CA යතුරට පටිගත කළ සැසි විකේතනය කළ හැකිද?
විශ්වාසනීය අන්තර්බාධක සහතික නිකුත් කිරීමේ බලය සහ පටිගත කළ TLS සැසි විකේතනය කිරීමට අවශ්‍ය රහස් අතර වෙනස හඳුනා ගන්න.
“ප්‍රහාරකයෙක් ප්‍රොක්සියේ පෞද්ගලික යතුර සොරකම් කළේය” යන ප්‍රකාශය හානිය තීරණය කරන විස්තරය අත්හැර දමයි: කුමන පෞද්ගලික යතුරද?
පරීක්ෂා කරන ප්‍රොක්සියකට සහතික අධිකාරියේ අත්සන් යතුර, ජනනය කළ සේවාදායක සහතික යතුරු, සජීවී TLS රථවාහන රහස්, සැසි නැවත ආරම්භ කිරීමේ ද්‍රව්‍ය සහ පැහැදිලි පෙළ තම මතකයේ හෝ ලොගවල තබා ගත හැක. මේවා වෙනස් වත්කම් ය.
CA යතුර අනුන් ලෙස පෙනී සිටීමේ හැකියාව ලබා දෙයි
පරීක්ෂණ CA විශ්වාස කිරීමට වින්‍යාස කළ සේවාලාභීන්ට එය යටතේ නිකුත් කළ සහතික පිළිගත හැක, සහතික දාමයේ සීමා සහ සේවාලාභියාගේ පරීක්ෂාවලට යටත්ව. අදාළ අත්සන් යතුර සොරකම් කරන අයෙකුට එම සීමා තුළ තවත් පිළිගත හැකි සහතික සෑදිය හැකිය.
එය බරපතල ය, නමුත් යතුර පමණක් පරිශීලකයාගේ සම්බන්ධතාවය හරවා නොයවයි. ප්‍රහාරකයාට භාවිතයට ගත හැකි අන්තර්බාධක ස්ථානයක් හෝ සේවාලාභියා අනුකරණය කළ අන්ත ලක්ෂ්‍යයට සම්බන්ධ කරවීමට වෙනත් මාර්ගයක් ද අවශ්‍ය ය. අමතර සහතික පරීක්ෂා සහිත යෙදුම් එය ප්‍රතික්ෂේප කළ හැක.
අත්සන් යතුර පටිගත කිරීමේ විකේතන යතුර නොවේ
සහතිකයෙන් සත්‍යාපනය කළ TLS 1.3 අත්වැල් ගැසීමේදී තාවකාලික Diffie–Hellman භාවිත කරන්නේ නම් සහතිකය හුවමාරුව සත්‍යාපනය කරයි. රථවාහන යතුරු වෙන වෙනම අත්වැල් ගැසීමේ රහස්වලින් ලබා ගනී. පසුව CA අත්සන් යතුර ලබා ගැනීමෙන් පටිගත කිරීමකින් එම අතීත තාවකාලික රහස් තනිවම නැවත ගොඩනැගෙන්නේ නැත.
සේවාදායක සහතිකයේ පෞද්ගලික යතුර සොරකම් කිරීම පවා එවැනි පටිගත කළ සැසියක රථවාහන රහස් ලබා ගැනීමට සමාන නොවේ. මෙය සෑම ඓතිහාසික TLS මාදිලියකට හෝ සෑම නැවත ආරම්භ කිරීමේ සැකසුමකට සාමාන්‍යකරණය නොකරන්න; සාකච්ඡා කළ යතුරු හුවමාරුව සහ හානියට පත් ද්‍රව්‍ය වැදගත් ය.
ක්‍රියාත්මක වන පරීක්ෂණ උපකරණයේ හානිය එහි CA යතුර සොරකමට වඩා බෙහෙවින් පුළුල් විය හැක. උපකරණය රථවාහන පරීක්ෂා කරන විට පැහැදිලි පෙළ හසුරුවන අතර සැසි රහස් තබා ගත හැක හෝ විකේතනය කළ අන්තර්ගතය රඳවා ගත හැක. එම නිරාවරණවලට තමන්ගේම විමර්ශනයක් අවශ්‍ය වන අතර ඉදිරි රහස්‍යභාවය උපුටා දක්වා ඒවා ඉවත දැමිය නොහැක.
සිද්ධිය නිවැරදිව විස්තර කරන්න
නැති වූ ද්‍රව්‍යය අත්සන් යතුර, අන්ත ලක්ෂ්‍ය යතුරු, සජීවී රහස්, ගබඩා කළ පැහැදිලි පෙළ හෝ උපකරණයේම පාලනය වූයේදැයි සටහන් කරන්න. පරීක්ෂණ CA ප්‍රතිස්ථාපනය කිරීම සහ සේවාලාභී විශ්වාසය යාවත්කාලීන කිරීම එක් හැකියාවක් ආමන්ත්‍රණය කරයි; එය පිටපත් කළ ලොග මකන්නේ නැති අතර සජීවී රථවාහන කියවා තිබුණේදැයි තීරණය නොකරයි. නිවැරදි යතුරු නාම සෑම රහසක්ම “SSL යතුර” ලෙස හැඳින්වීමට වඩා බෙහෙවින් ප්‍රයෝජනවත් ප්‍රතිචාරයකට මඟ පාදයි.