திருடப்பட்ட TLS ஆய்வு CA விசை பதிவு செய்யப்பட்ட அமர்வுகளை மறைகுறியாக்க முடியுமா?

“ஒரு தாக்குதலாளர் ப்ராக்ஸியின் தனிப்பட்ட விசையைத் திருடினார்” என்பது சேதத்தைத் தீர்மானிக்கும் விவரத்தை விட்டுவிடுகிறது: எந்தத் தனிப்பட்ட விசை?

ஆய்வு செய்யும் ப்ராக்ஸி ஒரு சான்றிதழ் அதிகாரத்தின் கையொப்ப விசை, உருவாக்கப்பட்ட சேவையகச் சான்றிதழ் விசைகள், நேரடி TLS போக்குவரத்து இரகசியங்கள், அமர்வு மீள்தொடக்கப் பொருள் மற்றும் வெற்று உரையைத் தன் நினைவகத்திலோ பதிவுகளிலோ வைத்திருக்கலாம். இவை வெவ்வேறு சொத்துகள்.

CA விசை மற்றவராக நடிக்கும் திறனை அளிக்கிறது

ஆய்வு CA-ஐ நம்ப வடிவமைக்கப்பட்ட வாடிக்கையாளர்கள் அதன் கீழ் வழங்கப்பட்ட சான்றிதழ்களை ஏற்கலாம், சான்றிதழ்ச் சங்கிலியின் வரம்புகள் மற்றும் வாடிக்கையாளரின் சோதனைகளுக்கு உட்பட்டு. தொடர்புடைய கையொப்ப விசையைத் திருடுபவர் அந்த வரம்புகளுக்குள் மற்ற ஏற்கத்தக்க சான்றிதழ்களை உருவாக்கலாம்.

இது தீவிரமானது, ஆனால் விசை மட்டும் பயனரின் இணைப்பைத் திருப்பிவிடாது. தாக்குதலாளருக்கு பயன்படுத்தக்கூடிய இடைமறிப்பு நிலை அல்லது வாடிக்கையாளரைப் போலியான முனையத்துடன் இணைக்க வேறு வழியும் தேவை. கூடுதல் சான்றிதழ் சோதனைகள் உள்ள பயன்பாடுகள் அதை நிராகரிக்கலாம்.

கையொப்ப விசை பதிவின் மறைகுறியாக்க விசை அல்ல

சான்றிதழால் அங்கீகரிக்கப்பட்ட TLS 1.3 கைக்குலுக்கலில் தற்காலிக Diffie–Hellman பயன்படுத்தப்பட்டால், சான்றிதழ் பரிமாற்றத்தை அங்கீகரிக்கிறது. போக்குவரத்து விசைகள் தனித்தனி கைக்குலுக்கல் இரகசியங்களிலிருந்து பெறப்படுகின்றன. CA கையொப்ப விசையைப் பின்னர் பெறுவது, பதிவிலிருந்து அந்தக் கடந்தகால தற்காலிக இரகசியங்களைத் தானாக மறுகட்டமைக்காது.

சேவையகச் சான்றிதழின் தனிப்பட்ட விசையைத் திருடுவதும் அந்த வகைப் பதிவு செய்யப்பட்ட அமர்வுக்கான போக்குவரத்து இரகசியங்களைப் பெறுவதற்குச் சமம் அல்ல. இதை ஒவ்வொரு வரலாற்று TLS முறைக்கும் ஒவ்வொரு மீள்தொடக்க அமைப்பிற்கும் பொதுமைப்படுத்த வேண்டாம்; பேசப்பட்ட விசைப் பரிமாற்றமும் சமரசம் செய்யப்பட்ட பொருளுமே முக்கியம்.

இயங்கும் ஆய்வுக் கருவியின் சமரசம் அதன் CA விசைத் திருட்டை விட மிகப் பரந்ததாக இருக்கலாம். கருவி போக்குவரத்தை ஆய்வு செய்யும்போது வெற்று உரையைக் கையாள்கிறது, அமர்வு இரகசியங்களை வைத்திருக்கலாம் அல்லது மறைகுறியாக்கப்பட்ட உள்ளடக்கத்தைத் தக்கவைக்கலாம். அந்த வெளிப்பாடுகளுக்கு அவற்றின் சொந்த விசாரணை தேவை, மேலும் முன்னோக்கிய இரகசியத்தன்மையைக் கூறி அவற்றை ஒதுக்க முடியாது.

நிகழ்வைத் துல்லியமாக விவரிக்கவும்

இழந்த பொருள் கையொப்ப விசையா, முனைய விசைகளா, நேரடி இரகசியங்களா, சேமிக்கப்பட்ட வெற்று உரையா அல்லது கருவியின் கட்டுப்பாடா எனப் பதிவு செய்யுங்கள். ஆய்வு CA-ஐ மாற்றுவதும் வாடிக்கையாளர் நம்பிக்கையைப் புதுப்பிப்பதும் ஒரு திறனைக் கையாள்கிறது; அது நகலெடுக்கப்பட்ட பதிவுகளை அழிக்காது, நேரடி போக்குவரத்து படிக்கப்பட்டதா என்பதையும் தீர்மானிக்காது. துல்லியமான விசைப் பெயர்கள் ஒவ்வொரு இரகசியத்தையும் “SSL விசை” என்று அழைப்பதை விட மிகவும் பயனுள்ள பதிலுக்கு இட்டுச் செல்லும்.