A mund të deshifrojë një çelës CA inspektimi TLS i vjedhur sesionet e regjistruara?

„Një sulmues vodhi çelësin privat të proxy-t“ lë jashtë detajin që përcakton dëmin: cili çelës privat?

Një proxy inspektimi mund të mbajë një çelës nënshkrimi të autoritetit certifikues, çelësa certifikatash serveri të gjeneruar, sekrete të trafikut TLS në kohë reale, material për rifillimin e sesioneve dhe tekst të thjeshtë në memorien ose regjistrat e vet. Këto janë asete të ndryshme.

Çelësi CA jep aftësinë e imitimit

Klientët e konfiguruar për t'i besuar një CA inspektimi mund të pranojnë certifikata të lëshuara nën të, në varësi të kufizimeve të zinxhirit të certifikatave dhe kontrolleve të klientit. Kush vjedh çelësin përkatës të nënshkrimit mund të krijojë certifikata të tjera të pranueshme brenda atyre kufizimeve.

Kjo është serioze, por çelësi vetëm nuk e ridrejton lidhjen e përdoruesit. Sulmuesi ka nevojë gjithashtu për një pozicion të përdorshëm përgjimi ose një mënyrë tjetër për ta bërë klientin të lidhet me pikën e fundit të imituar. Aplikacionet me kontrolle shtesë certifikatash mund ta refuzojnë.

Një çelës nënshkrimi nuk është çelës deshifrimi i regjistrimit

Në një shtrëngim duarsh TLS 1.3 të vërtetuar me certifikatë me Diffie–Hellman kalimtar, certifikata vërteton shkëmbimin. Çelësat e trafikut nxirren nga sekrete të veçanta të shtrëngimit. Marrja e çelësit të nënshkrimit të CA më vonë nuk i rindërton vetë ato sekrete kalimtare të shkuara nga një regjistrim.

As vjedhja e çelësit privat të certifikatës së serverit nuk është e njëvlershme me marrjen e sekreteve të trafikut për atë lloj sesioni të regjistruar. Mos e përgjithësoni këtë për çdo mënyrë historike TLS ose çdo konfigurim rifillimi; rëndësi kanë shkëmbimi i negociuar i çelësave dhe materiali i kompromentuar.

Kompromentimi i pajisjes inspektuese që punon mund të jetë shumë më i gjerë se vjedhja e çelësit të saj CA. Pajisja trajton tekst të thjeshtë ndërsa inspekton trafikun dhe mund të mbajë sekrete sesionesh ose të ruajë përmbajtje të deshifruar. Këto ekspozime kërkojnë hetim të vetin dhe nuk mund të hidhen poshtë duke iu referuar konfidencialitetit përpara.

Përshkruani me saktësi incidentin

Regjistroni nëse materiali i humbur ishte çelësi i nënshkrimit, çelësat e pikave të fundit, sekretet në kohë reale, teksti i thjeshtë i ruajtur apo kontrolli mbi vetë pajisjen. Zëvendësimi i CA inspektuese dhe përditësimi i besimit të klientëve trajton një aftësi; nuk fshin regjistrat e kopjuar dhe nuk vendos nëse trafiku në kohë reale u lexua. Emrat e saktë të çelësave çojnë në një përgjigje shumë më të dobishme sesa quajtja e çdo sekreti „çelësi SSL“.