ब्राउज़र डिजिटल प्रमाणपत्र निरस्तीकरण को कैसे लागू करते हैं

हार्टबल भेद्यता पर हमारी पोस्ट में , हमने बताया कि एचटीटीपीएस कनेक्शन के साथ काम करते समय अतिरिक्त सुरक्षा उपायों में से एक एक निरस्त डिजिटल प्रमाणपत्र को सत्यापित करने का विकल्प है, जो ब्राउज़र में सक्षम है। हार्टब्लेड के लिए, यह विशेष रूप से सच है, क्योंकि सर्वर पर ओपनएसएसएल के कमजोर संस्करण को अपडेट करने के बाद, कंपनी के विशेषज्ञों को एक नई निजी कुंजी (एसएसएल / टीएलएस) प्राप्त करने और एक नया प्रमाणपत्र बनाने की आवश्यकता है, और पुराने को रद्द करें। ब्राउज़रों को ऐसी स्थितियों (HTTPS में निरस्त डिजिटल प्रमाणपत्र का उपयोग करके) के बीच अंतर करना चाहिए और अपने उपयोगकर्ताओं को सूचित करना चाहिए कि वे सर्वर से जिस कनेक्शन का उपयोग करते हैं, उस पर अब भरोसा नहीं किया जाता है।



संगठन या कंपनी (सेवा, आदि) के बारे में जानकारी के लिए एक क्रिप्टोग्राफिक सार्वजनिक कुंजी को बांधने के लिए एसएसएल या टीएलएस डिजिटल प्रमाणपत्र का उपयोग किया जाता है। इस प्रकार, एक प्रमाणन प्राधिकरण (प्रमाणन प्राधिकरण) द्वारा जारी किया जा रहा है, यह इस संगठन के ग्राहक को गारंटी देता है कि सार्वजनिक एन्क्रिप्शन कुंजी का उपयोग इस संगठन के अंतर्गत आता है। एक सुरक्षित HTTPS कनेक्शन ऐसी सार्वजनिक कुंजी एन्क्रिप्शन प्रणाली का लाभ उठाता है, जिसमें SSL / TLS प्रमाणपत्र और साथ ही सर्वर की निजी कुंजी का उपयोग पूरी तरह से सुरक्षित कनेक्शन को स्थापित करने के लिए किया जाता है, जो उपयोगकर्ता अपने डेटा को संचारित करते समय बिना शर्त भरोसा कर सकता है।



इससे पहले, जानकारी प्रकाशित की गई थी कि हार्टबल भेद्यता का उपयोग करने वाले शोधकर्ता क्लाउडफ़्लारे, ओपनवीपीएन, साथ ही साथ याहू मेल जैसी सुरक्षित सेवाओं से सफलतापूर्वक समझौता करने में सक्षम थे। गुप्त कुंजी चोरी होने पर, हमलावर उपयोगकर्ता सत्रों के डेटा को डिक्रिप्ट कर सकते हैं और बाद में खुद को सर्वर के रूप में पेश कर सकते हैं, जबकि उपयोगकर्ता यह सोचेंगे कि वह एक वैध स्रोत के साथ काम कर रहा है। इस मामले में, सार्वजनिक कुंजी प्रमाणपत्र से ही समझौता कर लिया जाता है और प्रमाण पत्र जारी करने वाला CA यह गारंटी नहीं दे सकता है कि उपयोगकर्ता एक वास्तविक सर्वर के साथ काम कर रहा है।





अंजीर। याहू डिजिटल प्रमाणपत्र जारी किया।



जब सर्वर ने ओपनएसएसएल के असुरक्षित संस्करणों में से एक को आवश्यक 1.0.1 में अपग्रेड किया, तो एक नया सार्वजनिक कुंजी प्रमाणपत्र प्राप्त किया गया था (और सर्वर की संबंधित निजी कुंजी), पुराने प्रमाण पत्र को निरस्त कर दिया गया था, और उपयोगकर्ता ने अपने खाते के लिए पासवर्ड बदल दिया, वह अभी भी असुरक्षित रह सकता है, अपने ब्राउज़र के साथ काम करना। हमने बताया कि हमलावर बाद में चोरी की गई निजी कुंजी का इस्तेमाल सर्वर बनाने के बहाने कर सकते हैं या मैन-इन-मिडिल जैसे हमले का आयोजन कर सकते हैं, इस प्रकार HTTPS से समझौता कर सकते हैं। ऐसा इसलिए हो सकता है क्योंकि उपयोग किए गए ब्राउज़र ने निरस्त डिजिटल प्रमाणपत्र के बारे में जानकारी को अपडेट नहीं किया है और इसे विश्वसनीय माना जाता है।



दो मुख्य तरीके हैं जिनमें ब्राउज़र प्रमाणपत्र स्थिति की जानकारी (यानी, क्या यह वैध या निरस्त है) की जाँच कर सकता है: ऑनलाइन प्रमाणपत्र स्थिति प्रोटोकॉल (OCSP ) और प्रमाणपत्र निरस्तीकरण सूची (CRL) )। OCSP के माध्यम से, क्लाइंट संबंधित सर्वर के साथ HTTPS कनेक्शन बनाने से पहले प्रमाणपत्र की स्थिति के बारे में CA से जानकारी प्राप्त कर सकता है। CRL में निरस्त डिजिटल प्रमाणपत्रों की एक सूची है, और यह सूची ऑपरेशन के दौरान ब्राउज़र द्वारा कैश की गई है।



Google क्रोम



फरवरी 2012 में, Google ने ब्राउज़र के नए संस्करणों में Chrome के लिए निरस्त डिजिटल प्रमाणपत्रों के सत्यापन को बंद कर दिया। यह निर्णय उस सुस्ती और समय की देरी के कारण था जो OCSP के माध्यम से प्रमाणपत्र की स्थिति प्राप्त करने के लिए अनुरोध को संसाधित करने के लिए आवश्यक हैं। प्रत्येक नए HTTPS कनेक्शन के लिए स्टेटस की जाँच में लगभग 300 मिलीसेकंड या लगभग एक सेकंड का समय लगता है। Google ने यह भी माना कि इस तरह की देरी HTTPS के लिए सेवाओं के संक्रमण को बाधित कर सकती है क्योंकि उनके कुछ ग्राहक हर बार सर्वर से जुड़ने (नया कनेक्शन स्थापित करना) में इस तरह की देरी चाहते हैं। कंपनी ने प्रमाणपत्रों की स्थिति की लगातार निगरानी करने से भी इनकार कर दिया, क्योंकि अध्ययनों से पता चला है कि अधिकांश प्रमाणपत्र हमलावरों द्वारा समझौता करने के कारण नहीं बल्कि कंपनियों के अन्य प्रशासनिक निर्णयों के कारण निरस्त किए गए थे।



ब्राउज़र CRL प्रमाणपत्र निरस्तीकरण सूचियों (CRL सेट) का उपयोग करके प्रमाणपत्रों की स्थिति की जाँच करता है, लेकिन यह अभ्यास कैशिंग से संबंधित है, और ब्राउज़र को उपयोग किए गए प्रमाणपत्रों के बारे में नवीनतम जानकारी नहीं होगी। HTTPS में उनका उपयोग करने से पहले डिजिटल प्रमाणपत्रों के समय पर सत्यापन को सक्षम करने के लिए, ब्राउज़र सेटिंग्स में आपको "सर्वर प्रमाणपत्र निरस्त कर दिया गया है, यह जाँचें" विकल्प सेट करना होगा। डिफ़ॉल्ट रूप से, यह विकल्प अक्षम है। जब यह सेटिंग सक्रिय हो जाती है, तो ब्राउज़र एक नए HTTPS कनेक्शन को स्थापित करने का प्रयास करते समय प्रमाणपत्र की स्थिति की जांच करने के लिए उल्लिखित OCSP अनुरोधों का उपयोग करेगा। ब्राउज़र उपयोगकर्ता को एक चेतावनी प्रदर्शित करके रद्द किए गए प्रमाणपत्र के साथ वेब पेज देखने की अनुमति नहीं देगा।





अंजीर। Google Chrome की स्थापना करना।



मोज़िला फ़ायरफ़ॉक्स



फ़ायरफ़ॉक्स डेवलपर्स ने ब्राउज़र के हाल के संस्करणों में सीआरएल का उपयोग करके प्रमाण पत्र की स्थिति की लगातार जांच करने से इनकार कर दिया है, इसके बजाय, वे ओसीएसपी प्रोटोकॉल का उपयोग करते हैं, जो डिफ़ॉल्ट रूप से सक्षम है । उसी समय, सीआरएल सूचियां अभी भी ब्राउज़र में मौजूद हैं और उनके लिए जानकारी नियमित रूप से (अतुल्यकालिक रूप से, स्थापित कनेक्शनों की परवाह किए बिना, तथाकथित प्रत्यावर्तन सूची पुश तंत्र के माध्यम से) अपडेट की जाती है। क्रोम की तरह, फ़ायरफ़ॉक्स उपयोगकर्ता को सर्वर के निरस्त प्रमाण पत्र के उपयोग के बारे में चेतावनी देता है, इस प्रकार उपयोगकर्ता के अनुरोधित पृष्ठ तक पहुंच को अवरुद्ध करता है। जैसा कि आप नीचे स्क्रीनशॉट में देख सकते हैं, ब्राउज़र में विकल्प है "यदि OCSP सर्वर से कनेक्शन विफल हो जाता है, तो प्रमाण पत्र को अमान्य मानें", जो डिफ़ॉल्ट रूप से बंद है। इस प्रकार, यदि अनुरोधित CA उपलब्ध नहीं है, तो प्रमाण पत्र की स्थिति की जांच करने के लिए, उपयोगकर्ता को किसी भी प्रमाण पत्र के साथ काम करते समय एक त्रुटि संदेश प्राप्त होगा, क्योंकि यह दावा करना असंभव है कि यह मान्य है या निरस्त किया गया है।





अंजीर। मोज़िला फ़ायरफ़ॉक्स के साथ डिजिटल प्रमाणपत्र की स्थिति की जांच करने के लिए संबंधित विकल्प।



एमएस इंटरनेट एक्सप्लोरर



ब्राउज़र का व्यवहार इसी संस्करण और उपयोग किए गए OS पर निर्भर करता है। विंडोज 7 और विंडोज 8 के आधुनिक संस्करणों पर, इंटरनेट एक्सप्लोरर (संस्करण 8 के साथ शुरू) OCSP के माध्यम से नए कनेक्शन प्रमाणपत्रों के सत्यापन का समर्थन करता है, और CRLs का उपयोग भी करता है। डिफ़ॉल्ट रूप से, OCSP का उपयोग प्रमाणपत्र स्थिति की जांच के लिए किया जाता है। Google क्रोम और मोज़िला फ़ायरफ़ॉक्स की तरह, इंटरनेट एक्सप्लोरर उपयोगकर्ता को उन वेब पृष्ठों को ब्राउज़ करने की अनुमति नहीं देता है जो कनेक्ट करने के लिए एक निरस्त डिजिटल प्रमाणपत्र का उपयोग करते हैं।





अंजीर। Windows 7+ पर IE 8+ में प्रमाणपत्र निरस्तीकरण जाँच कॉन्फ़िगर करें ( डिफ़ॉल्ट रूप से सक्षम )।



Apple सफारी



इस ब्राउज़र में निरस्त प्रमाणपत्रों के सत्यापन के लिए अंतर्निहित तंत्र नहीं हैं। इसके बजाय, वह तथाकथित का उपयोग करता है। Apple किचेन एक्सेस । निरस्त प्रमाणपत्रों के सत्यापन से जुड़ी सेटिंग्स "सेटिंग" -> "प्रमाणपत्र" मेनू में स्थित हैं। सर्वश्रेष्ठ प्रयास सेटिंग का उपयोग OCSP और CRL चेक का उपयोग करके प्रमाणपत्र सत्यापन सेट करने के लिए किया जाता है। डिफ़ॉल्ट रूप से, प्रमाणपत्र सत्यापन अक्षम है । ऊपर उल्लिखित तीन ब्राउज़रों के विपरीत, सफारी उपयोगकर्ता को निरस्त प्रमाण पत्र के बारे में चेतावनी को छोड़ देता है। ऐसा करने के लिए, उपयोगकर्ता को पॉप-अप विंडो में "जारी रखें" आइटम पर क्लिक करना होगा।







स्रोत आधारित: blog.cisecurity.org/how-browsers-handle-certificate-revocation