Sertifikaattien tarkistus

[kallekilponen]

Tuossa vähän aikaa sitten vääriin käsiin joutuneet sertifikaatit aiheuttivat huolta sertifikaattien tuoreudesta, ja sen pohjalta joku pisti kasaan tämmöisen ohjeen:

http://securityskeptic.typepad.com/the- ... cking.html

Ajattelin, että voisi foorumilaisia kiinnostaa. (Ja ihmettelin, kun Secureapple ei ole vielä asiaa nostanut pintaan. )


EDIT: Niin täsmennyksenä, tuossa neuvotaan siis miten automaattinen tarkistus laitetaan päälle. Vakiona kun se ei ole.

[securapple]

Hei!
Loman vietosta suoraan asiaan, twitterin kautta tätä on tullu seurailtua.

Case "comodogate", erään juuri-CA:n (Komodo) alihankkija hakkeroitiin. Salausavaimet meni hakkereille
=> Komodo purki luottamuksen tuohon alihankkijaan oikein laittamalla CRL-päivityksen jossa alihankkijan allekirjoittamat sertit asetetaan pannaan(CRL). Näin kaikki selaimet joissa oli CRL-päivitys OCSP-protokollalla olivat heti turvassa.

Kuitenkin selainten OCSP -protokollan asetukset vaihtelevat(ei ole kaikissa oletuksena päällä) ja siksi esim. MS päätti julkaista CRL-päivityksen turvapäivityskanavan kautta(Microsoft update).

Selainten luottamuksen saa ostettua rahalla. IE:n osalta oman serttisi lisääminen luotettujen juuri-CA:iden listalle maksaa n. 65 000 euroa. Mozillan, Safarin ja Chromen hintoja en tiedä. Se, miten juuriCA-hakijan tietojen tarkastaminen tehdään, onkin mielenkiintoinen pointti. Tästäkään ei ole tarkkoja selainkohtaisia tietoja.

Summarum :
Loppukäyttäjän osalta OCSP on hyvä laittaa päälle. Päivityksiä on tähän asti tullut erittäin vähän(muutama). Mutta jatkossa tahti voi kiihtyä.

Selaimia tekevien osalta ongelmaksi muodostuu palvelinpään kuormitus. Jos esim. kaikki miljoonat macit/iphonet/ipadit alkavat tekemään jokaisen SSL-sivuston avaamisen yhteydessä OCSP-kyselyn ko. SSL-sertifikaatista, saa apple pistää aika monta serveriä pystyyn.

EDIT: tässä tuli puhuttua läpiä päähän. CRL -listan distribution point näyttää olevan CA-kohtainen, eli muuttunut CRL haetaankin tässä tapauksessa CA:n sivuilta. Kaiken lisäksi OCSP stapling -niminen ominaisuus yrittää varmistaa että muuttunut CRL ei aiheuta tuon CRL distribution pointin tukehtumista OCSP-kuorman alle.



SSL-serttien hankkijoiden näkökulma :
Noin yleensä sertifikaatin hakijan tarkastamisen prosessit vaihtelevat niin paljon että sertin ostaminen on väärä paikka säästää jos kriittinen liiketoiminta perustuu internetin kautta asioivan asiakkaan luottamukseen (verkkokauppa, verkkopankki, ...). Tällöin on hyvä ostaa sertit esim. verisigniltä / thawtelta ym. hyvämaineiselta yritykseltä, mieluusti maksasisin lisää EV-sertistä jotta asiakkaalla näkyisi osoiterivillä vihreä väri.

Itse kavahtaisin jos verkkopankin sertifikaatin olisi myöntänyt joku "GoDaddy"

Toivottavasti tämä helpotti Kallea?

-Securapple

[kallekilponen]

*kiittää ja kumartaa*

Asiantuntevan kuuloinen suomennos asiasta.

[mikian]

securapple viittasikin viestissaan asian ytimeen, mutta kirjoittelempa vahan selkeammin. Eli sertifikaatithan ei ole todiste eika mikaan. Jos palvelulla on sertifikaatti, ei se kerro yhtikas mitaan (onhan noita itse allekirjoitettuja sertteja vaikka kuinka paljon netissa). Se milla on valia on etta kuka sen on myontanyt ja sita kautta luottaako sertifikaatin myontajaan. Nykytilanne on, ettei noihin tavallisiin sertifikaatteihin kannata kiinnittaa mitaan huomiota, nykyisellaan ihan turhia. Ja tuo on yleisestikin tiedossa, siksi tuo jo mainittu EV-sertifikaatti on kehitetty.

Tuo on vain typeraa miksei OCSP -kyselyt ole oletuksena paalla, tai miksi selaimet sallii ylipaatansa vaaralle hostille tehdyn sertifikaaten (tahan tormaa ihan liian usein). Noh, PKI alkaa olla nykyisellaan tien paassa kun jossain valissa raha alkoi kiinnostamaan luottamusta enempi, nimimerkilla sertifikaatteja ostellut ilman etta mitaan on kyselty koskaan... (toki vain oman webbisivun salauksen enabloimiseen, eli tuolla oikeasti mitaan valia, mutta kertoo nykyisen tilan madannaisyyden).

[kronos]

Ihan vaan tiedoksi.

Sen jälkeen kun tein muutokset Avainipun asetuksiin niin Mac App Store lopetti toimintansa ja sieltä ostetuilla ohjelmilla oli vaikeuksia käynnistyä. Palautin asetukset alkuperäisiin arvoihin tämän vuoksi. Toimiiko MAS muilla muutoksen jälkeen?

[mikian]

Ihan vaan tiedoksi.

Sen jälkeen kun tein muutokset Avainipun asetuksiin niin Mac App Store lopetti toimintansa ja sieltä ostetuilla ohjelmilla oli vaikeuksia käynnistyä. Palautin asetukset alkuperäisiin arvoihin tämän vuoksi. Toimiiko MAS muilla muutoksen jälkeen?

Nain nayttaisi olevan itsellakin. Kun pisti CRL:n pois paalta ja jatti OCSP:n Best Attempt, niin sitten nayttaisi toimivan... Hmm, pistetaan bugiraporttia Appelle...

[umpio]

Minulla taas Store näyttäisi kyllä toimivan, mutta vaikuttaa vähän hitaalta. Ostetuilla ohjelmilla en ole havainnut mitään ongelmaa.

[kallekilponen]

Kovaa kellotusta aiheutti täälläkin päälläollessaan...