it-swarm-tr.com

SSL için bir sertifika imzalamanın riskleri nelerdir?

Diyelim ki kendim için bir SSL sertifikası imzaladım ve sertifikalı bir CA kullanmıyorum. Bunu yapmanın riskleri ve/veya tehditleri nelerdir?

56
Timo Willemsen

Riskler müşteri içindir. SSL sunucu sertifikasının amacı, istemci tarafından sunucu ortak anahtarını tanımak için kullanılmasıdır ve anahtarın gerçekten de istenen sunucuya ait olduğunu garanti eder. Garanti CA'dan gelir: CA'nın sertifikayı vermeden önce istekte bulunanın kimliğini kapsamlı bir şekilde doğrulaması gerekir.

Bir istemci (kullanıcı ve Web tarayıcısı), istemcinin güvendiği CA'dan biri tarafından verilmeyen bir sertifikayı "kabul ettiğinde" (Microsoft tarafından Windows'a katıştırılan CA), o zaman istemcinin şu anda sahte bir sunucuyla konuşuyor, yani saldırı altında. pasif saldırıların (saldırganın verileri gözlemlediğini ancak hiçbir şekilde değiştirmediğini) CA sertifikasının verilip verilmediğine bakılmaksızın SSL tarafından engellendiğini unutmayın. ana akım CA'sı olsun veya olmasın.

Genel olarak, kullanıcılarınızı tarayıcıdan gelen korkunç güvenlik uyarısını yok saymak üzere eğitmek istemezsiniz, çünkü bu onları bu tür sunucu kimliğine bürünme saldırılarına karşı savunmasız hale getirir (örneğin DNS ile) zehirlenme ). Öte yandan, başka bir yolla, sertifikanın bir kez orijinal olduğunu onaylayabilirseniz , tarayıcı sertifikayı hatırlar ve aynı kendinden imzalı sertifika kullanıldığı sürece sonraki ziyaretler için uyarı göstermez. Yeni önerilen Yakınsama PKI bu prensibin bir uzantısıdır. Bu "hatırlanan sertifikanın" sertifika değişmediği sürece saklandığını unutmayın, bu nedenle kendinden imzalı sertifikanızın son kullanma tarihini çok ileride ayarlamak istersiniz (ancak kaçınmak istiyorsanız 2038'i geçemez) birlikte çalışabilirlik sorunları ).

Kendinden imzalı bir sertifika bir CA tarafından "yönetilmediğinden" olası bir iptal olmadığı belirtilmelidir. Bir saldırgan özel anahtarınızı çalarsa, kalıcı olarak kaybedersiniz, oysa CA tarafından verilen sertifikalar hala iptal etme teorik güvenlik ağına sahiptir (CA'nın verilen bir sertifikanın çürük olduğunu beyan edin). Uygulamada, mevcut Web tarayıcısı zaten iptal durumunu kontrol etmez.

66
Thomas Pornin