Kan en stulen CA-nyckel för TLS-inspektion dekryptera inspelade sessioner?

”En angripare stal proxyns privata nyckel” utelämnar detaljen som avgör skadan: vilken privat nyckel?

En inspekterande forward-proxy kan hålla en signeringsnyckel för en certifikatutfärdare, genererade servercertifikatnycklar, hemligheter för livet TLS-trafik, material för återupptagning av sessioner och klartext i sitt eget minne eller sina loggar. Det är olika tillgångar.

CA-nyckeln ger en möjlighet att utge sig för andra

Klienter som är inställda att lita på en inspektions-CA kan acceptera certifikat utfärdade under den, med förbehåll för certifikatkedjans begränsningar och klientens kontroller. Den som stjäl motsvarande signeringsnyckel kan möjligen skapa andra godtagbara certifikat inom dessa gränser.

Det är allvarligt, men nyckeln ensam omdirigerar inte användarens anslutning. Angriparen behöver också en användbar avlyssningsposition eller ett annat sätt att få klienten att ansluta till den imiterade slutpunkten. Program med ytterligare certifikatkontroller kan avvisa det.

En signeringsnyckel är inte en dekrypteringsnyckel för en inspelning

I ett certifikatautentiserat TLS 1.3-handskakning med efemär Diffie–Hellman autentiserar certifikatet utbytet. Trafiknycklar härleds från separata handskakningshemligheter. Att senare få CA-signeringsnyckeln återskapar inte i sig de tidigare efemära hemligheterna från en inspelning.

Inte ens stöld av servercertifikatets privata nyckel är detsamma som att få trafikhemligheterna för den typen av inspelad session. Generalisera inte detta till varje historiskt TLS-läge eller varje återupptagningsinställning; det förhandlade nyckelutbytet och det komprometterade materialet är det som avgör.

En kompromettering av den körande inspektionsenheten kan vara mycket bredare än stölden av dess CA-nyckel. Enheten hanterar klartext medan den inspekterar trafik och kan hålla sessionshemligheter eller bevara dekrypterat innehåll. Dessa exponeringar kräver egen utredning och kan inte avfärdas med hänvisning till forward secrecy.

Beskriv händelsen exakt

Anteckna om det förlorade materialet var signeringsnyckeln, slutpunktsnycklar, levande hemligheter, lagrad klartext eller kontroll över själva enheten. Att byta ut inspektions-CA:n och uppdatera klientförtroendet hanterar en förmåga; det raderar inte kopierade loggar och avgör inte om levande trafik lästes. Exakta nyckelnamn leder till en mycket mer användbar respons än att kalla varje hemlighet ”SSL-nyckeln”.