nylig Mozilla annoncerede lanceringen af en ny mekanisme til detektering af certifikater tilbagekaldelse kaldet "CRLite", og som findes i de natlige versioner af Firefox. Denne nye mekanisme giver mulighed for at organisere en verifikation effektiv tilbagekaldelse af certifikat mod en database hostet på en brugers system.
Certifikatbekræftelsen har hidtil været brugt med brug af eksterne tjenester baseret I OCSP-protokollen (Online Certificate Status Protocol) kræver garanteret adgang til netværket, hvilket fører til en mærkbar forsinkelse i behandlingen af anmodningen (i gennemsnit 350 ms) og har fortrolighedsproblemer (servere, der reagerer på anmodninger OCSP får oplysninger om specifikke certifikater, som kan bruges til at bedømme, hvilke websteder en bruger åbner).
også der er mulighed for lokal verifikation over for CRL (Certifikat tilbagekaldelsesliste), men ulempen ved denne metode er den store størrelse af de downloadede data: I øjeblikket optager databasen om tilbagekaldelse af certifikater omkring 300 MB, og dens vækst fortsætter.
Firefox har brugt den centraliserede sortliste OneCRL siden 2015 for at blokere certifikater, der er kompromitteret og tilbagekaldt af certificeringsmyndigheder sammen med adgang til Googles sikre browsingtjeneste for at bestemme mulig ondsindet aktivitet.
OneCRL, som CRLSets i Chrome, fungerer som et mellemled, der samler CRL-lister over certifikatmyndigheder og leverer en enkelt central OCSP-tjeneste til verificering af tilbagekaldte certifikater, hvilket gør det muligt ikke at sende anmodninger direkte til certifikatmyndigheder.
Standard, hvis det ikke er muligt at verificere via OCSP, betragter browseren certifikatet som gyldigt. På denne måde hvis tjenesten ikke er tilgængelig på grund af netværksproblemer og interne netværksrestriktioner eller at det kan blive blokeret af angribere under et MITM-angreb. For at undgå sådanne angreb, Must-Staple-teknikken er implementeret, hvilket tillader OCSP-adgangsfejl eller OCSP-utilgængelighed at blive fortolket som et problem med certifikatet, men denne funktion er valgfri og kræver særlig registrering af certifikatet.
Om CRLite
CRLite giver dig mulighed for at medbringe komplette oplysninger om alle de tilbagekaldte certifikater i en let fornyelig struktur kun 1 MB, hvilket gør det muligt at gemme hele CRL-databasen på klientsiden. Browseren kan dagligt synkronisere sin kopi af dataene i de tilbagekaldte certifikater, og denne database vil være tilgængelig under alle forhold.
CRLite kombinerer information fra Certificate Transparency, den offentlige registrering af alle udstedte og tilbagekaldte certifikater og resultaterne af scanning af internetcertifikater (forskellige CRL-lister over certificeringscentre indsamles, og information om alle kendte certifikater tilføjes).
Data pakkes ved hjælp af Bloom-filtre, en sandsynlighedsstruktur, der tillader en falsk bestemmelse af det manglende element, men udelukker udeladelse af et eksisterende element (det vil sige med en vis sandsynlighed, at falske positive er mulige for et gyldigt certifikat, men tilbagekaldte certifikater bliver garanteret detekteret).
For at eliminere falske alarmer introducerede CRLite yderligere korrigerende filterniveauer. Når strukturen er bygget, vises alle kildeposter, og falske alarmer opdages.
Baseret på resultaterne af denne verifikation oprettes der en ekstra struktur, der kaskader over den første og korrigerer falske alarmer, der er opstået. Operationen gentages, indtil falske positive er fuldstændigt udelukket under verifikationen.
Som regelal, for at dække alle data fuldstændigt er det nok at oprette 7-10 lag. Da tilstanden i databasen på grund af periodisk synkronisering ligger lidt bag den nuværende tilstand for CRL, udføres verifikationen af nye certifikater, der er udstedt efter den sidste opdatering af CRLite-databasen ved hjælp af protokollen OCSP, herunder brugen af OCSP hæftningsteknik .
Mozillas implementering af CRLite frigives under den gratis MPL 2.0-licens. Koden til generering af databasen og serverkomponenterne er skrevet i Python og Go. Klientdelene, der er føjet til Firefox for at læse data fra databasen, udarbejdes på Rust-sproget.
kilde: https://blog.mozilla.org/