O'g'irlangan TLS tekshiruv CA kaliti yozib olingan sessiyalarni ocha oladimi?
Ishonchli aralashuv sertifikatlarini chiqarish vakolatini yozib olingan TLS sessiyalarini ochish uchun kerak bo'ladigan sirlardan ajrating.
«Hujumchi proksining shaxsiy kalitini o'g'irladi» degan gap zararni belgilaydigan tafsilotni qoldirib ketadi: qaysi shaxsiy kalit?
Tekshiruvchi proksi sertifikat organining imzo kalitini, yaratilgan server sertifikati kalitlarini, jonli TLS trafik sirlarini, sessiyani davom ettirish materialini va ochiq matnni o'z xotirasida yoki jurnallarida saqlashi mumkin. Bular turli aktivlar.
CA kaliti boshqalar kabi ko'rinish qobiliyatini beradi
Tekshiruv CA ga ishonish uchun sozlangan mijozlar uning ostida chiqarilgan sertifikatlarni qabul qilishi mumkin, sertifikat zanjiri cheklovlari va mijoz tekshiruvlariga bog'liq holda. Tegishli imzo kalitini o'g'irlagan kishi shu chegaralar ichida boshqa maqbul sertifikatlar yaratishi mumkin.
Bu jiddiy, lekin kalitning o'zi foydalanuvchi ulanishini boshqa tomonga burmaydi. Hujumchiga ishlatsa bo'ladigan aralashuv pozitsiyasi yoki mijozni taqlid qilingan oxirgi nuqtaga ulashning boshqa yo'li ham kerak. Qo'shimcha sertifikat tekshiruvlari bo'lgan ilovalar buni rad etishi mumkin.
Imzo kaliti yozuvni ochish kaliti emas
Sertifikat bilan tasdiqlangan TLS 1.3 qo'l berishuvida vaqtinchalik Diffie–Hellman ishlatilsa, sertifikat almashinuvni tasdiqlaydi. Trafik kalitlari alohida qo'l berishuv sirlaridan olinadi. CA imzo kalitini keyinroq olish yozuvdan o'sha o'tmishdagi vaqtinchalik sirlarni o'z-o'zidan qayta qurmaydi.
Hatto server sertifikatining shaxsiy kalitini o'g'irlash ham shu turdagi yozib olingan sessiya uchun trafik sirlarini olishga teng emas. Buni har bir tarixiy TLS rejimiga yoki har bir davom ettirish sozlamasiga umumlashtirmang; kelishilgan kalit almashinuvi va buzilgan material muhim.
Ishlayotgan tekshiruv qurilmasining buzilishi uning CA kaliti o'g'irlanishidan ancha keng bo'lishi mumkin. Qurilma trafikni tekshirganda ochiq matn bilan ishlaydi va sessiya sirlarini saqlashi yoki ochilgan mazmunni saqlab qo'yishi mumkin. Bu oshkor bo'lishlar alohida tekshiruvni talab qiladi va ularni oldinga qarab maxfiylikka havola qilib chetlab bo'lmaydi.
Hodisani aniq tasvirlang
Yo'qolgan material imzo kaliti, oxirgi nuqta kalitlari, jonli sirlar, saqlangan ochiq matn yoki qurilmaning o'zini boshqarish bo'lganini yozib qo'ying. Tekshiruv CA ni almashtirish va mijoz ishonchini yangilash bitta qobiliyatni hal qiladi; u nusxalangan jurnallarni o'chirmaydi va jonli trafik o'qilganmi-yo'qmi ekanini hal qilmaydi. Aniq kalit nomlari har bir sirni «SSL kaliti» deb atashdan ancha foydali javobga olib keladi.