डीपीआई (एसएसएल निरीक्षण) क्रिप्टोग्राफी के अर्थ का खंडन करता है, लेकिन कंपनियां इसे लागू करती हैं

भरोसे की जंजीर। CC BY-SA 4.0 यानपा

एसएसएल ट्रैफिक इंस्पेक्शन (एसएसएल / टीएलएस डिक्रिप्शन, एसएसएल या डीपीआई विश्लेषण) कॉर्पोरेट सेक्टर में एक तेजी से गर्म विषय बन रहा है। यातायात को डिक्रिप्ट करने का विचार क्रिप्टोग्राफी की बहुत अवधारणा के विपरीत लगता है। हालांकि, एक तथ्य एक तथ्य है: अधिक से अधिक कंपनियां डीपीआई प्रौद्योगिकियों का उपयोग करती हैं, यह मालवेयर, डेटा लीक आदि के लिए सामग्री की जांच करने की आवश्यकता से समझाती है।

ठीक है, अगर आप इस तथ्य को स्वीकार करते हैं कि इस तरह की तकनीक को पेश करना आवश्यक है, तो आपको कम से कम इसे सबसे सुरक्षित और अच्छी तरह से प्रबंधित करने के तरीकों पर विचार करना चाहिए। कम से कम उन प्रमाण पत्रों पर भरोसा न करें, उदाहरण के लिए, जो डीपीआई सिस्टम प्रदाता आपको देता है।

कार्यान्वयन का एक पहलू है जिसके बारे में सभी को पता नहीं है। वास्तव में, कई लोग उसके बारे में सुनकर वास्तव में आश्चर्यचकित हो जाते हैं। यह एक निजी प्रमाणन प्राधिकरण (CA) है। यह डिक्रिप्टिंग और फिर से एन्क्रिप्ट करने वाले ट्रैफ़िक के लिए प्रमाण पत्र बनाता है।

DPI उपकरणों से स्व-हस्ताक्षरित प्रमाण पत्र या प्रमाण पत्र पर निर्भर होने के बजाय, आप GlobalSign जैसे तृतीय-पक्ष प्रमाणन प्राधिकरण से समर्पित CA का उपयोग कर सकते हैं। लेकिन पहले, चलिए समस्या की थोड़ी समीक्षा स्वयं करते हैं।

एसएसएल निरीक्षण क्या है और इसका उपयोग क्यों किया जाता है?

अधिक से अधिक सार्वजनिक वेबसाइट HTTPS पर स्विच हो रही हैं। उदाहरण के लिए, क्रोम के आंकड़ों के अनुसार, सितंबर 2019 की शुरुआत में, रूस में एन्क्रिप्टेड ट्रैफ़िक का हिस्सा 83% तक पहुंच गया।



दुर्भाग्य से, साइबर क्रिमिनल ट्रैफिक एन्क्रिप्शन का उपयोग कर रहे हैं, खासकर जब से लेट एनक्रिप्ट स्वचालित रूप से हजारों मुफ्त एसएसएल प्रमाणपत्र वितरित करता है। इस प्रकार, HTTPS का उपयोग हर जगह किया जाता है - और ब्राउज़र के एड्रेस बार में लॉक सुरक्षा के एक विश्वसनीय संकेतक के रूप में काम करना बंद कर देता है।

इन पदों से, डीपीआई समाधान के निर्माता अपने उत्पाद को बढ़ावा देते हैं। वे अंत उपयोगकर्ताओं (यानी वेब ब्राउज़ करने वाले आपके कर्मचारी) और इंटरनेट, दुर्भावनापूर्ण ट्रैफ़िक को फ़िल्टर करने के बीच तैनात किए जाते हैं। आज बाजार पर ऐसे कई उत्पाद हैं, लेकिन प्रक्रियाएं अनिवार्य रूप से समान हैं। HTTPS ट्रैफ़िक एक स्कैन इंजन से होकर गुजरता है, जहाँ इसे डिक्रिप्ट किया जाता है और मैलवेयर के लिए स्कैन किया जाता है।

सत्यापन पूरा होने के बाद, डिवाइस डिक्रिप्टिंग और सामग्री को फिर से एन्क्रिप्ट करने के लिए अंतिम क्लाइंट के साथ एक नया एसएसएल सत्र बनाता है।

डिक्रिप्शन / री-एन्क्रिप्शन प्रक्रिया कैसे काम करती है

एक एसएसएल निरीक्षण उपकरण को डिक्रिप्ट और फिर से एन्क्रिप्ट करने के लिए अंत उपयोगकर्ताओं को भेजने से पहले, यह मक्खी पर एसएसएल प्रमाणपत्र जारी करने में सक्षम होना चाहिए। इसका मतलब यह है कि इस पर सीए प्रमाणपत्र स्थापित होना चाहिए।

किसी कंपनी (या बीच में किसी अन्य व्यक्ति) के लिए, यह महत्वपूर्ण है कि ये एसएसएल प्रमाणपत्र ब्राउज़रों में विश्वसनीय हैं (यानी नीचे दिए गए जैसे डरावने चेतावनी संदेश नहीं हैं)। इसलिए, सीए चेन (या पदानुक्रम) ब्राउज़र ट्रस्ट स्टोर में होना चाहिए। क्योंकि ये प्रमाण पत्र सार्वजनिक रूप से विश्वसनीय प्रमाणपत्र अधिकारियों से जारी नहीं किए जाते हैं, इसलिए आपको सभी अंतिम क्लाइंट के लिए CA पदानुक्रम को मैन्युअल रूप से स्थानांतरित करना होगा।


क्रोम में एक स्व-हस्ताक्षरित प्रमाण पत्र के लिए एक चेतावनी संदेश। स्रोत: BadSSL.com

विंडोज वाले कंप्यूटर पर, आप सक्रिय निर्देशिका और समूह नीतियों का उपयोग कर सकते हैं, लेकिन मोबाइल उपकरणों के लिए, प्रक्रिया अधिक जटिल है।

स्थिति और भी जटिल हो जाती है यदि आपको कॉर्पोरेट वातावरण में अन्य मूल प्रमाणपत्रों का समर्थन करने की आवश्यकता होती है, उदाहरण के लिए, Microsoft से, या ओपनएसएसएल पर आधारित। साथ ही, निजी कुंजी की सुरक्षा और प्रबंधन करना ताकि चाबियों में से एक अप्रत्याशित रूप से समाप्त न हो।

सर्वश्रेष्ठ विकल्प: तृतीय-पक्ष सीए से निजी, समर्पित रूट प्रमाणपत्र

यदि कई जड़ों या स्व-हस्ताक्षरित प्रमाणपत्रों को प्रबंधित करना आकर्षित नहीं करता है, तो एक और विकल्प है: आप किसी तीसरे पक्ष के सीए पर भरोसा कर सकते हैं। इस मामले में, प्रमाण पत्र एक निजी प्रमाणन प्राधिकरण से जारी किए जाते हैं, जो कि कंपनी के लिए विशेष रूप से बनाए गए एक समर्पित, निजी रूट प्रमाणन प्राधिकरण के साथ विश्वास की श्रृंखला में जुड़ा हुआ है।


समर्पित ग्राहक रूट प्रमाणपत्र के लिए सरलीकृत वास्तुकला

यह सेटअप पहले बताई गई कुछ समस्याओं को समाप्त करता है: कम से कम यह उन जड़ों की संख्या को कम करता है जिन्हें प्रबंधित करने की आवश्यकता होती है। यहां आप किसी भी इंटरमीडिएट सर्टिफिकेशन अथॉरिटी के सभी आंतरिक पीकेआई की जरूरत के लिए केवल एक निजी रूट सेंटर का उपयोग कर सकते हैं। उदाहरण के लिए, उपरोक्त आरेख एक बहु-स्तरीय पदानुक्रम को दर्शाता है जिसमें एक मध्यवर्ती प्रमाणन प्राधिकरण का उपयोग एसएसएल को सत्यापित / डिक्रिप्ट करने के लिए किया जाता है, और दूसरे का उपयोग आंतरिक कंप्यूटर (लैपटॉप, सर्वर, डेस्कटॉप कंप्यूटर, आदि) के लिए किया जाता है।

इस योजना में, आपको सभी क्लाइंट पर CA को रखने की आवश्यकता नहीं है, क्योंकि शीर्ष-स्तरीय CA को GlobalSign द्वारा होस्ट किया जाता है, जो निजी कुंजी और वैधता अवधि की सुरक्षा के साथ समस्याओं को हल करता है।

इस दृष्टिकोण का एक और लाभ किसी भी कारण से एसएसएल प्रमाणपत्र प्राधिकरण को रद्द करने की क्षमता है। इसके बजाय, यह बस एक नया बनाता है जो आपके मूल निजी रूट को बांधता है, और आप इसे तुरंत उपयोग कर सकते हैं।

सभी विरोधाभासों के बावजूद, उद्यम पीकेआई के आंतरिक या निजी बुनियादी ढांचे के हिस्से के रूप में एसएसएल यातायात निरीक्षण को तेजी से लागू कर रहे हैं। एक निजी पीकेआई का उपयोग करने के लिए अन्य विकल्प सर्टिफिकेशन डिवाइस या यूजर्स के लिए सर्टिफिकेट, आंतरिक सर्वर के लिए एसएसएल और सीए / ब्राउजर फोरम की आवश्यकताओं के अनुसार सार्वजनिक विश्वसनीय प्रमाणपत्रों में अनुमति नहीं देने वाले विभिन्न कॉन्फ़िगरेशन जारी कर रहे हैं।

ब्राउज़र्स विरोध करते हैं

यह ध्यान दिया जाना चाहिए कि ब्राउज़र डेवलपर्स इस प्रवृत्ति का मुकाबला करने और MiTM से अंतिम उपयोगकर्ताओं की रक्षा करने की कोशिश कर रहे हैं। उदाहरण के लिए, कुछ दिनों पहले मोज़िला ने फ़ायरफ़ॉक्स में निम्न ब्राउज़र संस्करणों में से एक में डिफ़ॉल्ट DoH प्रोटोकॉल (DNS-over-HTTPS) को शामिल करने का निर्णय लिया । डीओएच प्रोटोकॉल डीपीआई प्रणाली से डीएनएस प्रश्नों को छुपाता है, जिससे एसएसएल निरीक्षण मुश्किल हो जाता है।

Google द्वारा क्रोम ब्राउज़र के लिए 10 सितंबर, 2019 को ऐसी ही योजनाओं की घोषणा की गई थी ।

---

नए ग्राहकों के लिए प्रोमो कोड AL002HRFR के तहत उद्यमों के लिए PKI समाधानों के लिए विशेष शर्तें 11.30.2019 तक मान्य हैं। जानकारी के लिए, प्रबंधकों से संपर्क करें +7 (499) 678 2210, sales-ru@globalsign.com।