Chứng chỉ bảo mật hướng tới nâng cao câu hỏi về độ tin cậy SSL

Khi người tiêu dùng, chúng tôi được dạy tin tưởng biểu tượng khóa móc xuất hiện trên thanh địa chỉ của các trình duyệt của chúng tôi. Chúng tôi được cho biết đó là dấu hiệu cho thấy sự liên lạc của chúng tôi với một trang web là an toàn. Nhưng một sự việc trong tuần này liên quan đến Google và một công ty an ninh Thổ Nhĩ Kỳ tin rằng quan niệm.

Công ty, TurkTrust, tiết lộ trong tuần này rằng vào tháng 8 năm 2011, nó vô tình đưa ra hai khóa chính cho hai "thực thể". Các khóa chính, được gọi là các chứng chỉ trung gian, cho phép các thực thể tạo chứng chỉ số cho bất kỳ miền nào trên Internet.

Chứng chỉ số thực sự là các khóa mã hóa được sử dụng để xác minh một trang web là những gì nó nói. Ví dụ: chứng chỉ cho ngân hàng của bạn xác minh trình duyệt của bạn rằng bạn đang thực sự nói chuyện với ngân hàng của mình khi bạn thực hiện ngân hàng trực tuyến.

[Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows của bạn] để mã hóa thông tin giữa bạn và trang web. Đó là những gì các ổ khóa màu xanh lá cây trên thanh địa chỉ của trình duyệt của bạn có nghĩa là.

Một sự xâm phạm Internet với chứng chỉ không có thật, người có thể chặn thông tin liên lạc giữa bạn và một trang web đáng tin cậy có thể đánh lừa trình duyệt của bạn tin rằng nó đang giao tiếp với trang web đáng tin cậy và chiếm đoạt thông tin liên lạc của bạn. Nó được gọi là "người đàn ông trong cuộc tấn công trung gian" vì kẻ trộm ngồi giữa bạn và trang tin cậy.

Lỗi cố định, vấn đề tiếp tục

Lỗi của TurkTust được Google phát hiện vào đêm Giáng sinh bởi một tính năng trong trình duyệt Chrome của nó nền tảng tăng cờ đỏ lên Google khi ai đó cố gắng sử dụng nền tảng với chứng chỉ trái phép.

Sau khi phát hiện sự cố chứng chỉ, Google đã thông báo cho TurkTrust về tình hình cũng như Microsoft và Mozilla, những người đã sửa đổi nền tảng trình duyệt của mình để chặn các chứng chỉ giả mạo được tạo với cơ quan cấp chứng chỉ trung gian.

Chứng chỉ snafu này chỉ là dấu hiệu mới nhất cho thấy hệ thống cấp chứng chỉ kỹ thuật số hiện có cần được vá. Vào tháng 3 năm 2011, một công ty liên kết với cơ quan cấp chứng chỉ Comodo đã bị vi phạm và chín chứng chỉ không có thật.

Cuối năm, tin tặc đã vi phạm một cơ quan chứng nhận Hà Lan, DigiNotar và cấp hàng chục chứng chỉ không có thật, bao gồm một Google.

Muốn: Bảo mật thế hệ tiếp theo

Một số đề xuất đã được phát sóng để giải quyết các vấn đề an ninh xung quanh các chứng chỉ.

Có sự hội tụ. Nó cho phép trình duyệt nhận ý kiến ​​thứ hai về chứng chỉ từ nguồn được người dùng chọn. "Đó là một ý tưởng sáng chói, nhưng ngay sau khi bạn vào mạng công ty và bạn đứng sau một proxy hoặc phía sau một dịch giả mạng, nó có thể phá vỡ", Chet Wisniewski, một cố vấn bảo mật của Sophos, cho biết trong một cuộc phỏng vấn. > Có DNSSEC. Nó sử dụng hệ thống phân giải tên miền - hệ thống biến tên phổ biến của trang web thành các số để tạo một liên kết đáng tin cậy giữa người dùng và trang web. Wisniewski nói: "Vấn đề với DNSSEC là nó đòi hỏi phải triển khai một công nghệ mới và nâng cấp cơ sở hạ tầng phối hợp trước khi chúng ta có thể tận dụng nó". "Với tỷ lệ chấp nhận mà chúng tôi đã thấy cho đến nay có nghĩa là chúng tôi sẽ không có một giải pháp tại chỗ trong mười hoặc 15 năm. Đó là không đủ."

Ngoài ra đề xuất là hai "ghim" kỹ thuật-Khóa công khai Phần mở rộng cho HTTP và Trusted Assertions cho Certificate Keys (TACK), tương tự.

Chúng cho phép một trang web sửa đổi tiêu đề HTTP để xác định các tổ chức phát hành chứng chỉ mà nó tin tưởng. Trình duyệt sẽ lưu trữ thông tin đó và chỉ thiết lập kết nối tới một trang web nếu nó nhận được chứng chỉ được ký bởi cơ quan cấp chứng chỉ được trang web tin cậy.

Theo Wisniewski, các đề xuất ghim có nhiều khả năng được áp dụng nhất để chữa trị chứng chỉ. "Chúng có thể được chấp nhận theo thứ tự ngắn", ông nói. "Chúng cho phép những người muốn tận dụng lợi thế của bảo mật nâng cao để làm như vậy ngay lập tức, nhưng nó không phá vỡ bất kỳ trình duyệt web hiện có nào chưa được cập nhật."

Bất kể trình soạn thảo trình duyệt nào áp dụng để giải quyết vấn đề làm điều đó sớm thôi. Nếu không, snafus sẽ tiếp tục phát triển và tin tưởng trên Internet có thể bị tổn hại không thể khắc phục.