搜索

[24875] 2016-04-15_如何应对伪造的SSL证书？

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-04-15_如何应对伪造的SSL证书？ 如 何 应 对 伪 造 的   S S L   证 书 ？ 译 者 ： w a t c h e r   L i n u x 中 国   2 0 1 6 - 0 4 - 1 5 编 译 自 ： h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 6 / 0 4 / s s l - c e r t i f i c a t e - t r a n s p a r e n c y . h t m l   作 者 ：   S w a t i   K h a n d e l w a l 转 载 自 ： F r e e B u f   h t t p : / / w w w . f r e e b u f . c o m / v u l s / 1 0 1 4 7 9 . h t m l   译 者 ：   w a t c h e r 在 互 联 网 中 ， 仍 存 在 一 个 巨 大 的 加 密 后 门 ， 可 怕 的 是 大 部 分 人 却 并 不 知 道 。 我 所 指 的 是 传 统 的 数 字 证 书 管 理 系 统 ， 它 完 全 是 基 于 信 任 的 ， 但 同 时 它 又 是 十 分 脆 弱 的 ， 其 信 任 认 证 曾 被 多 次 打 破 。 数 十 亿 的 互 联 网 用 户 为 了 确 保 个 人 数 据 的 机 密 性 和 完 整 性 ， 盲 目 地 依 赖 于 全 球 的 数 百 个 证 书 颁 发 机 构 。 在 这 篇 文 章 中 ， 我 将 解 释 以 下 问 题 ： 当 前 数 字 证 书 管 理 系 统 中 的 结 构 性 漏 洞 证 书 颁 发 机 构 为 什 么 失 去 了 人 们 的 信 任 ？ 证 书 透 明 度 是 如 何 弥 补   S S L   证 书 系 统 中 存 在 的 问 题 的 ？ 如 何 发 现 所 有 指 向 你 域 名 的 数 字 证 书 （ 合 法 或 伪 造 ） ？ 首 先 ， 你 需 要 了 解 证 书 颁 发 机 构 及 其 作 用 ： 证 书 颁 发 机 构 及 其 作 用 证 书 颁 发 机 构 及 其 作 用
证 书 颁 发 机 构 （ C A ） 是 一 个 受 信 任 的 第 三 方 组 织 ， 负 责 发 布 和 管 理   S S L / T L S   证 书 。 全 球 有 数 百 个 受 信 任 的 证 书 颁 发 机 构 ， 他 们 中 任 何 一 个 都 有 权 利 为 你 的 域 名 颁 发 有 效 的   S S L   证 书 ， 尽 管 你 可 能 已 经 从 某 个 证 书 颁 发 机 构 购 买 了 一 个 。 对 ， 这 就 是   C A   系 统 中 最 大 的 漏 洞 。 S S L   的 信 任 链 破 裂 的 信 任 链 破 裂 去 年 ， 谷 歌 发 现 赛 门 铁 克 （ 证 书 颁 发 机 构 之 一 ） 在   G o o g l e   不 知 情 下 为   G o o g l e   域 名 颁 发 了 有 效 期 一 天 的 预 签 证 书 。 这 样 的 事 情 已 经 不 是 第 一 次 发 生 了 ， 证 书 颁 发 机 构 的 权 利 被 滥 用 或 者 是 错 误 地 被 用 于 发 布 伪 造 的 数 字 证 书 ， 这 样 的 举 动 使 数 百 万 互 联 网 用 户 的 隐 私 处 于 危 险 之 中 。 2 0 1 1 年 3 月 ， 一 名 黑 客 入 侵 了   C o m o d o   公 司 ( 一 个 著 名 的 证 书 颁 发 机 构 ) ， 偷 走 [ 1 ] 了 七 个   W e b   域 共 9 个 数 字 证 书 ， 包 括 ： m a i l . g o o g l e . c o m 、 a d d o n s . m o z i l l a . o r g   和   l o g i n . y a h o o . c o m   等 。 在 同 一 年 ， 荷 兰 的 证 书 颁 发 机 构   D i g i N o t a r   同 样 遭 到 了 黑 客 入 侵 [ 2 ] ， 颁 发 了 大 量 的 伪 造 证 书 。 由 于 信 任 链 的 破 裂 ， 数 百 万 的 用 户 遭 到 了 中 间 人 攻 击 。 此 外 ， 爱 德 华 · 斯 诺 登 泄 露 的 文 件 透 露 ： 美 国 国 家 安 全 局 截 取 和 破 解 了 大 量   H T T P S   加 密 的   W e b   会 话 [ 3 ] ， 这 也 表 明 ， 某 些 所 谓 受 信 任 的 证 书 颁 发 机 构 可 能 受 到 了 政 府 的 控 制 或 者 得 到 了 政 府 的 授 权 。 如 果 政 府 要 求 某 些 这 样 的 证 书 颁 发 机 构 颁 发 一 些 著 名 网 站 的 伪 造   S S L   证 书 ， 例 如   F a c e b o o k 、 G o o g l e   或   Y a h o o ， 那 该 如 何 是 好 ？ 这 并 不 是 一 个 推 测 ， 而 是 实 实 在 在 发 生 过 的 。 政 府 机 构 和 一 些 政 府 所 资 助 的 黑 客 [ 4 ] 通 过 滥 用 受 信 任 的 证 书 颁 发 机 构 来 获 取 伪 造 的 一 些 知 名 网 站 的 数 字 证 书 ， 并 将 其 用 于 监 视 用 户 。 涉 及 到 政 府 的 一 些 案 例 涉 及 到 政 府 的 一 些 案 例 1 )   2 0 1 1 年 ， D i g i N o t a r   证 书 颁 发 机 构 颁 发 的 伪 造 数 字 证 书 [ 5 ] 被 用 于 攻 击 约 3 0 0 0 0 0 个 伊 朗 用 户 的   G m a i l   账 户 。 2 )   2 0 1 3 年 末 ， 谷 歌 发 现 法 国 政 府 [ 6 ] 伪 造 了 其 域 名 的 数 字 证 书 ， 并 将 其 用 于 实 施 中 间 人 攻 击 。
3 )   2 0 1 4 年 ， 谷 歌 证 实 了 又 一 事 件 ： 印 度 国 家 信 息 中 心 使 用 了 其 域 名 的 未 授 权 数 字 证 书 [ 7 ] 。 到 了 这 你 就 能 明 白 ， 那 些 所 谓 的 证 书 颁 发 机 构 给 予   H T T P S   加 密 网 站 的 安 全 性 有 多 么 脆 弱 了 吧 。 你 仍 然 盲 目 地 信 任 证 书 颁 发 机 构 吗 ？ 你 仍 然 盲 目 地 信 任 证 书 颁 发 机 构 吗 ？ D i g i N o t a r   公 司 和   C o m o d o   公 司 的 事 件 为 我 们 敲 响 了 警 钟 ， 也 结 束 了 这 盲 目 信 任 证 书 颁 发 机 构 的 时 代 。 问 题 ： 你 如 何 去 检 查 是 否 有 指 向 你 域 名 的 伪 造 证 书 被 发 行 给 他 人 ， 甚 至 是 被 攻 击 者 所 利 用 ？ 问 题 ： 你 如 何 去 检 查 是 否 有 指 向 你 域 名 的 伪 造 证 书 被 发 行 给 他 人 ， 甚 至 是 被 攻 击 者 所 利 用 ？ 答 案 ： C e r t i f i c a t e   T r a n s p a r e n c y 证 书 透 明 度 [ 8 ] 项 目 ， 它 的 目 标 是 提 供 一 个 开 放 的 审 计 和 监 控 系 统 ， 可 以 让 任 何 域 名 所 有 者 或 者 证 书 颁 发 机 构 确 定 证 书 是 否 被 错 误 签 发 或 者 被 恶 意 使 用 ， 从 而 提 高   H T T P S   网 站 的 安 全 性 。 在 2 0 1 3 年 ， 谷 歌 发 起 了 一 个 针 对 全 行 业 的 倡 议 ， 名 为 C e r t i f i c a t e   T r a n s p a r e n c y 证 书 透 明 度 ， 这 是 一 个 开 源 项 目 ， 用 于 记 录 ， 审 计 和 监 控 证 书 颁 发 机 构 所 颁 发 的 数 字 证 书 。 什 么 是 证 书 透 明 度 系 统 ？ 什 么 是 证 书 透 明 度 系 统 ？
证 书 透 明 度 项 目 包 括 三 部 分 ： 1 .   证 书 日 志 2 .   证 书 监 视 3 .   证 书 审 计 证 书 透 明 度 项 目 要 求 证 书 颁 发 机 构 公 开 地 宣 布 其 颁 发 的 每 一 个 数 字 证 书 ( 将 其 记 录 到 证 书 日 志 中 ) 。 证 书 日 志 提 供 给 用 户 一 个 查 找 某 个 给 定 域 名 颁 发 的 所 有 数 字 证 书 的 途 径 。 值 得 注 意 的 是 ， 证 书 透 明 度 模 型 [ 9 ] 并 没 有 替 代 传 统 的 以 证 书 颁 发 机 构 为 基 础 的 鉴 定 验 证 程 序 ， 它 只 是 提 供 给 你 一 个 途 径 ， 让 你 可 以 确 保 你 的 证 书 是 独 一 无 二 的 。 证 书 日 志 有 3 个 优 点 ： 1 .   仅 允 许 附 加 仅 允 许 附 加 ： 证 书 记 录 只 能 被 添 加 ， 而 不 能 被 删 除 ， 修 改 ， 或 者 追 溯 地 将 数 据 插 入 日 志 。 2 .   加 密 可 靠 加 密 可 靠 ： 证 书 日 志 使 用 知 名 的   “ M e r k l e   T r e e   H a s h e s ”   加 密 机 制 来 防 止 被 篡 改 。 3 .   公 开 审 计 公 开 审 计 ： 任 何 人 都 可 以 查 询 日 志 ， 或 者 验 证 颁 发 的 数 字 证 书 是 否 已 经 被 合 理 地 记 录 在 了 日 志 之 中 。 在 证 书 透 明 度 项 目 中 ， 每 个 数 字 证 书 都 包 含 一 个 证 书 时 间 戳 证 书 时 间 戳 ， 它 可 以 证 明 数 字 证 书 在 被 颁 发 之 前 已 经 被 记 录 到 了 日 志 之 中 。 谷 歌 ， D i g i C e r t 、 赛 门 铁 克 和 一 些 证 书 颁 发 机 构 目 前 管 理 着 这 些 公 开 日 志 [ 1 0 ] 。 虽 然 证 书 透 明 度 不 能 阻 止 证 书 颁 发 机 构 颁 发 伪 造 的 数 字 证 书 ， 但 是 它 可 以 让 我 们 更 容 易 地 发 现 它 们 。 证 书 透 明 度 将 让 人 们 可 以 快 速 地 识 别 出 被 错 误 地 或 者 恶 意 地 颁 发 的 数 字 证 书 ， 以 此 来 缓 解 可 能 会 出 现 的 安 全 问 题 ， 例 如 中 间 人 攻 击 [ 1 1 ] 。 今 年 早 些 时 候 ， 证 书 透 明 度 系 统 和 监 控 服 务 帮 助   f a c e b o o k   安 全 团 队 提 前 检 测 到 了 多 个   f b . c o m   子 域 的 伪 造 证 书 。 在 另 一 篇 文 章 中 ， 我 详 细 介 绍 了   f a c e b o o k   所 提 供 的 证 书 透 明 度 监 控 服 务 [ 1 2 ] ， 它 可 以 自 动 而 快 捷 地 发 现   S S L   证 书 的 问 题 。 F a c e b o o k   已 经 向   T h e   H a c k e r   N e w s   ( T H N )   证 实 [ 1 3 ] ， 在 未 来 几 个 月 会 把 试 验 性 的 证 书 透 明 度 监 控 服 务 免 费 提 供 给 更 多 的 社 区 。 证 书 透 明 度 证 书 透 明 度 搜 索 工 具 搜 索 工 具 听 起 来 很 有 趣 ？ C o m o d o   已 经 推 出 了 一 款 证 书 透 明 度 搜 索 工 具 [ 1 4 ] ， 它 可 以 列 出 给 定 域 名 所 有 颁 发 的 证 书 。 或 者 ， 你 也 可 以 去 试 试 谷 歌 的 证 书 透 明 度 查 询 工 具 [ 1 5 ] ， 它 可 以 在 目 前 公 开 的 证 书 透 明 度 日 志 中 查 询 任 意 一 个 给 定 的 域 名 的 所 有 颁 发 证 书 。
如 果 你 发 现 有 指 向 你 域 名 的 伪 造 证 书 ， 请 立 即 报 告 给 相 应 的 证 书 颁 发 机 构 解 决 。 编 译 自 ： h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 6 / 0 4 / s s l - c e r t i f i c a t e - t r a n s p a r e n c y . h t m l   作 者 ：   S w a t i   K h a n d e l w a l 转 载 自 ： F r e e B u f   h t t p : / / w w w . f r e e b u f . c o m / v u l s / 1 0 1 4 7 9 . h t m l   译 者 ：   w a t c h e r [ 1 ] :   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 1 / 0 3 / t w o - m o r e - c o m o d o - r e g i s t r a t i o n - a u t h o r i t y . h t m l [ 2 ] :   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 1 / 0 8 / i r a n i a n - m a n - i n - m i d d l e - a t t a c k - a g a i n s t . h t m l [ 3 ] :   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 5 / 1 0 / n s a - c r a c k - e n c r y p t i o n . h t m l [ 4 ] :   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 5 / 0 2 / s p y - a g e n c i e s - t h e h a c k e r n e w s . h t m l [ 5 ] :   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 1 / 0 8 / i r a n i a n - m a n - i n - m i d d l e - a t t a c k - a g a i n s t . h t m l [ 6 ] :   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 3 / 1 2 / f a k e - g o o g l e - s s l - c e r t i f i c a t e s - m a d e - i n . h t m l [ 7 ] :   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 4 / 0 7 / g o o g l e - c a t c h e s - i n d i a n - g o v e r n m e n t - a g e n c y . h t m l [ 8 ] :   h t t p s : / / w w w . c e r t i f i c a t e - t r a n s p a r e n c y . o r g / [ 9 ] :   h t t p s : / / w w w . c e r t i f i c a t e - t r a n s p a r e n c y . o r g / h o w - c t - w o r k s [ 1 0 ] :   h t t p s : / / w w w . c e r t i f i c a t e - t r a n s p a r e n c y . o r g / k n o w n - l o g s [ 1 1 ] :   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 4 / 0 5 / f a k e - d i g i t a l - c e r t i f i c a t e s - f o u n d - i n - w i l d . h t m l [ 1 2 ] :   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 6 / 0 4 / c e r t i f i c a t e - t r a n s p a r e n c y - m o n i t o r i n g . h t m l [ 1 3 ] :   h t t p : / / t h e h a c k e r n e w s . c o m / 2 0 1 6 / 0 4 / c e r t i f i c a t e - t r a n s p a r e n c y - m o n i t o r i n g . h t m l [ 1 4 ] :   h t t p s : / / c r t . s h / [ 1 5 ] :   h t t p s : / / w w w . g o o g l e . c o m / t r a n s p a r e n c y r e p o r t / h t t p s / c t / 推 荐 文 章 推 荐 文 章 I D 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 1 3 3 为 什 么   C h r o m e   会 说 你 的   S H A - 2   证 书 链 是 “ 肯 定 不 安 全 的 ” 6 5 8 增 强   n g i n x   的   S S L   安 全 性 3 6 3 4 D e v O p s   高 手 的 九 项 隐 藏 技 能 3 7 3 0 多 达   9 5 %   的   H T T P S   链 接 能 被 黑 客 劫 持 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理