HTTPS अवरोधन का पता लगाने के लिए नए उपकरण

जैसे-जैसे एचटीटीपीएस का उपयोग बढ़ता है, अनधिकृत व्यक्तियों की संरक्षित यातायात में घुसपैठ की इच्छा बढ़ती है। HTTPS इंटरसेप्शन के द सिक्योरिटी इंपैक्ट द्वारा 2017 के एक अध्ययन में यह एक तेजी से सामान्य अभ्यास पाया गया। फ़ायरफ़ॉक्स अपडेट सर्वर पर ट्रैफ़िक के विश्लेषण से पता चला कि कुछ देशों में HTTPS में थर्ड-पार्टी एजेंटों को पेश करने का प्रतिशत 15% तक पहुंच गया है।

अध्ययन के बाद से, स्थिति में सुधार की संभावना नहीं है। अब, यहां तक ​​कि नवीनतम Sennheiser वायरलेस हेड फोन्स मॉडल को सिस्टम में रूट प्रमाणपत्र (असुरक्षित मापदंडों के साथ) स्थापित करने की आवश्यकता होती है ।

अधिकतर, एंटीवायरस या कॉर्पोरेट मिडबॉक्स सुरक्षा से समझौता करते हैं (नीचे दी गई सूची देखें), लेकिन यह बदतर हो सकता है। किसी भी स्थिति में, यह सुनिश्चित करना सबसे अच्छा है कि आपका HTTPS चैनल वास्तव में एंड-टू-एंड सुरक्षित नहीं है। यहां तक ​​कि जब एक तृतीय-पक्ष प्रणाली अच्छी तरह से इरादा यातायात को स्वीकार करती है, तो यह अक्सर आधुनिक सिफर का समर्थन नहीं करता है या प्रमाण पत्र को मान्य नहीं करता है, जिससे कनेक्शन की समग्र सुरक्षा कम हो जाती है। लेकिन आप एसएसएल ट्रैफिक को न केवल अच्छे उद्देश्यों के लिए, बल्कि दुर्भावनापूर्ण उद्देश्यों के लिए भी रोक सकते हैं: उदाहरण के लिए, राज्य स्तर पर सेंसरशिप के लिए।

HTTPS निगरानी कार्यक्रम पारदर्शी परदे के पीछे कार्य करते हैं जो TLS सत्र को तोड़ते हैं, सामग्री का निरीक्षण करते हैं, और फिर गंतव्य सर्वर के साथ एक नया सत्र स्थापित करते हैं। वे लोकप्रिय ब्राउज़रों की तुलना में टीएलएस पुस्तकालयों के विभिन्न संस्करणों का उपयोग करते हैं, जो उन्हें वास्तविक ब्राउज़र और प्रॉक्सी के HTTP उपयोगकर्ता-एजेंट और टीएलएस क्लाइंट हैलो के बीच बेमेल द्वारा सर्वर साइड पर पता लगाने की अनुमति देता है।

आरंभ करने के लिए, यहां 2017 के एक अध्ययन से कुछ व्यावहारिक अंतर्दृष्टि दी गई है जिसमें मोज़िला, Google, ग्लोबलसाइन, साथ ही मिशिगन विश्वविद्यालय के शैक्षणिक शोधकर्ता, इलिनोइस विश्वविद्यालय के शहरी-शैंपेन और बर्कले में कैलिफोर्निया विश्वविद्यालय शामिल हैं।

HTTPS इंटरसेप्शन से व्यावहारिक नुकसान एन्क्रिप्शन और अतिरिक्त पारदर्शी प्रॉक्सी कमजोरियों का क्षरण है। अध्ययन के लेखकों ने इन मापदंडों द्वारा कई लोकप्रिय मिडिलबॉक्स का मूल्यांकन किया। जैसा कि आप देख सकते हैं, 2017 में, उनमें से लगभग आधे ने आधुनिक सिफर स्वीट्स और पांच पंजीकृत गंभीर कमजोरियों का समर्थन नहीं किया। 12 में से केवल 1 पूरी तरह से सभी कस्टम सिफर सुइट्स को मिरर करने में सक्षम था।



उपयोगकर्ताओं के कंप्यूटरों पर एंटीवायरस गतिविधि को आमतौर पर सर्वर साइड पर भी पता लगाया जाता है। अध्ययन से पता चला कि केवल दो एंटीवायरस पूरी तरह से उपयोगकर्ता सिफर को दर्पण करते हैं, अन्य मामलों में एन्क्रिप्शन अपमानित करता है।



कुछ खतरों से रक्षा करते हुए, एंटीवायरस एन्क्रिप्शन को कम करते हैं और अपनी कमजोरियों को जोड़ते हैं। सामान्य तौर पर, तृतीय-पक्ष एंटीवायरस स्थापित करने से अक्सर सिस्टम की समग्र सुरक्षा में काफी गिरावट आती है। कुछ विशेषज्ञ उपयोगकर्ताओं को सलाह देते हैं कि सिस्टम से हमेशा थर्ड-पार्टी एंटीवायरस को हटा दें , क्योंकि उनका आक्रामक और खराब लिखित कोड ब्राउज़र और अन्य कार्यक्रमों के लिए अपनी सुरक्षा प्रदान करना मुश्किल बनाता है।

क्लाइंट और सर्वर के बीच के रास्ते में, अन्य पारदर्शी परदे के पीछे भी काम कर सकते हैं। इन एजेंटों का बेहतर पता लगाने के लिए, क्लाउडफेयर ने हाल ही में दो नए उपकरण जारी किए हैं:

1. MITMEngine , HTTPS इंटरसेप्शन का पता लगाने के लिए एक निःशुल्क पुस्तकालय है।
2. MALCOLM , Cloudflare नेटवर्क पर HTTPS इंटरसेप्शन के बारे में मीट्रिक प्रदर्शित करने के लिए एक डैशबोर्ड।

मुख्य रुचि MITMEngine लाइब्रेरी है। डेवलपर्स लिखते हैं कि उन्होंने लोकप्रिय कैडी सर्वर MITM डिटेक्शन टूल को एक नमूने के रूप में लिया। यह लोकप्रिय ब्राउज़रों के एक सेट का समर्थन करता है और टीटीएस क्लाइंट हैलो और उपयोगकर्ता एजेंट संदेशों के विशिष्ट फिंगरप्रिंट द्वारा HTTPS अवरोधन को पहचानता है, जैसा कि ऊपर वर्णित है।

डेवलपर्स ने डिटेक्टर के नए संस्करणों के भविष्य के जोड़ को सरल बनाने के साथ-साथ प्रदर्शन को बेहतर बनाने और कैडी सर्वर MITM डिटेक्शन की तुलना में डिटेक्टर की कार्यक्षमता का विस्तार करने के द्वारा विस्तार प्रदान करने का प्रयास किया। यह निम्नलिखित TLS क्लाइंट हैलो मापदंडों का विश्लेषण करता है, ज्ञात ब्राउज़रों के फिंगरप्रिंट के साथ वास्तविक डेटा की तुलना करता है:

• टीएलएस संस्करण
• सिफर स्वीट्स;
• विस्तार और उनके अर्थ;
• अंडाकार घटता के समर्थित समूह;
• एक अण्डाकार वक्र के बिंदुओं के प्रारूप।

वास्तव में, MITMEngine उपयोगकर्ता के आंशिक फिंगरप्रिंटिंग को बिना डिनोमिनेट किए करता है, लेकिन एक विश्वसनीय निर्धारण के साथ कि कनेक्शन एक वास्तविक ब्राउज़र द्वारा स्थापित किया गया है, मध्यस्थ नहीं।

काम का उदाहरण

मान लें कि MITMEngine उपयोगकर्ता से निम्न उपयोगकर्ता एजेंट देखता है:

Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko)
Chrome/47.0.2526.111 Safari/537.36

यह उपयोगकर्ता एजेंट विंडोज 7 के तहत क्रोम 47 से मेल खाता है। यह एक टीएलएस क्लाइंट हैलो संदेश के साथ है, जो निम्न सिफर सुइट्स को हेक्स में इंगित करता है:

0000 c0 2b c0 2f 00 9e c0 0a c0 14 00 39 c0 09 c0 13 .+./.... ...9....
0010 00 33 00 9c 00 35 00 2f 00 0a .3...5./ ..

यह संदेश निम्नलिखित सिफर स्वीट्स से मेल खाता है:

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02b)
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (0x009e)
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (0xc00a)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)
TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x0039)
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009)
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x0033)
TLS_RSA_WITH_AES_128_GCM_SHA256 (0x009c)
TLS_RSA_WITH_AES_256_CBC_SHA (0x0035)
TLS_RSA_WITH_AES_128_CBC_SHA (0x002f)
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a)

Chrome 47 के लिए डिफ़ॉल्ट सिफर सुइट निम्नानुसार हैं:

0000 c0 2b c0 2f 00 9e cc 14 cc 13 c0 0a c0 14 00 39 .+./.... .......9
0010 c0 09 c0 13 00 33 00 9c 00 35 00 2f 00 0a .....3.. .5./..

यदि आप ध्यान से देखें, तो आप देख सकते हैं: वास्तविक ट्रैफ़िक में, साइफ़र्स की सूची वास्तविक ब्राउज़र में होने की तुलना में थोड़ी कम है। हालांकि बाकी एक ही क्रम में व्यवस्थित हैं, दो सेट गायब हैं:

TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 (0xcc14)
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (0xcc13)

यह माना जा सकता है कि उपयोगकर्ता के ब्राउज़र से ट्रैफ़िक एक पारदर्शी प्रॉक्सी के माध्यम से गुजरता है जो चाचा सिफर्स का समर्थन नहीं करता है। यह उपयोगकर्ता सुरक्षा को कम करता है क्योंकि चाचा के बगल में एईएस-सीबीसी सिफर सूट पैडिंग ऑर्कल हमलों के लिए कमजोर हैं ।

कुछ मामलों में, MITMEngine आपको यह निर्धारित करने की भी अनुमति देता है कि कौन सा विशिष्ट प्रोग्राम HTTPS कनेक्शन की गिरावट का कारण बनता है (ऊपर दिए गए उदाहरण में, यह सोफोस एंटीवायरस है)। सर्वर इस खतरे के बारे में उपयोगकर्ता को सचेत कर सकता है।

---