Potvrde za sigurnu sigurnost postavljaju pitanje pouzdanosti SSL-a

Kao potrošači, nas je podučavalo da vjerujemo ikoni lokota koji se pojavljuju na adresnoj traci naših preglednika. Rekli su nam da je znak da je naša komunikacija s web-mjestom sigurna. No, taj tjedan koji uključuje Google i tursku sigurnosnu tvrtku priznaje tu zamisao.

Tvrtka TurkTrust otkrila je ovog tjedna da je u kolovozu 2011. slučajno izdala dva glavna ključa dvama "entitetima". Glavni ključevi, koji se nazivaju međuvladine certifikate, omogućuju entitetima stvaranje digitalnih certifikata za bilo koju domenu na Internetu.

Digitalni certifikati zapravo su ključevi za šifriranje koji se koriste za potvrdu web stranice što ona kaže. Certifikat za vašu banku, na primjer, provjerava vašem pregledniku da zapravo razgovarate s bankom kada obavljate online bankarstvo.

[Daljnje čitanje: Kako ukloniti zlonamjerni softver s vašeg Windows računala]

Potvrde se koriste za šifriranje informacija između vas i web stranice. To znači zeleni lokot na adresnoj traci preglednika. Preglednik komunicira s web-mjestom pomoću Secure Sockets Layera, nakon provjere njegove autentičnosti.

Neželjeni internet s lažnim certifikatom koji može presresti komunikaciju između vas i pouzdane web stranice može zavarati vaš preglednik vjerujući da komunicira s trustiranom web-lokacijom i oteti vašu komunikaciju. To se zove "čovjek u srednjem napadu", jer lopov sjedi između vas i povjerljivih stranica.

Pogreška je riješena, problem se nastavlja

Google je uvečer otkrio da je TurkTustova pogreška neka značajka koju ima u svom pregledniku Chrome platformu koja podiže crvenu zastavicu Googleu kada netko pokuša koristiti platformu s neovlaštenim certifikatom.

Nakon otkrivanja problema s certifikatom, Google je obavijestio TurkTrust o situaciji, kao i Microsoft i Mozilla, koji su sve izmijenili svoje platforme preglednika za blokiranje prijelaznih certifikata stvorenih s posredničkim ovlaštenjem certifikata.

Ova potvrda je samo najnoviji znak da postojeći sustav izdavanja digitalnih certifikata treba popravljati. U ožujku 2011., primjerice, prekršena je tvrtka koja je povezana s nadležnim tijelom za izdavanje certifikata Comodo, a izdano je devet lažnih potvrda.

Kasnije tijekom godine hakeri su prekršili nizozemsko tijelo za izdavanje certifikata, DigiNotar i izdalo desetke lažnih potvrda, uključujući jednu za Google. Prekid od tog incidenta stavio je tvrtku izvan posla.

Tražim: Sigurnost sljedeće generacije

Brojni prijedlozi su emitirani kako bi se riješili sigurnosni problemi oko certifikata.

There's Convergence. Omogućuje pregledniku da dobije drugo mišljenje o potvrdi iz izvora kojeg odabere korisnik. "To je briljantna ideja, ali čim stignete na korporacijsku mrežu, a vi ste iza proxy poslužitelja ili iza mrežnog prevoditelja, može se prekinuti", izjavio je Chet Wisniewski, sigurnosni savjetnik sa Sophosom. "

> Postoji DNSSEC. Koristi sustav razlučivanja naziva domena - sustav koji pretvara uobičajena imena web stranica u brojeve - kako bi stvorio pouzdanu vezu između korisnika i web mjesta. Ne samo da sustav nije jednostavan za razumijevanje, već i implementacija može potrajati godinama. "Problem s DNSSEC-om zahtijeva implementaciju nove tehnologije i koordiniranu nadogradnju infrastrukture prije nego što ga iskoristimo", rekao je Wisniewski. "S obzirom na brzine usvajanja koje smo vidjeli do sada to znači da nećemo imati rješenje na mjestu od deset ili petnaest godina. To nije dovoljno dobro."

Predložene su i dvije "pinning" tehnike - Public Pinning Proširenje za HTTP i pouzdane tvrdnje za ključeve certifikata (TACK), koje su slične.

Dopuštaju web stranici da izmijeni HTTP zaglavlje kako bi identificiralo ovlaštene osobe koje vjeruju. Preglednik bi pohranjivao te podatke i uspostavio vezu s web-mjestom samo ako prima potvrdu potpisanu od strane ovlaštenog certifikata s povjerenjem web stranice.

Prijedlozi za pričvršćivanje najvjerojatnije će biti usvojeni za liječenje problema s certifikatom, prema riječima Wisniewski. "Mogu se usvojiti u kratkom poretku", rekao je. "Omogućuju ljudima koji žele iskoristiti naprednu sigurnost kako bi to odmah učinili, ali ne prekida bilo koji postojeći web-preglednik koji se ne ažurira."

Bez obzira na shemu koja preglednici izrađuju za rješavanje problema s certifikatom, trebaju učinite to uskoro. Inače, snafus će se nastaviti razmnožavati, a povjerenje na Internet može nepovratno oštetiti.