অ্যাপাচি: এমআইটিএম-আক্রমণগুলি রোধ করতে আস্থার এসএসএল চেইনকে বৈধতা দিন?


11

আমি কেবল বুঝতে পেরেছি যে এসএসএল-মধ্য-মধ্যবর্তী আক্রমণগুলি আমি যা ভাবি তার থেকে বেশি সাধারণ, বিশেষত কর্পোরেট পরিবেশে। আমি বেশ কয়েকটি উদ্যোগের কথা শুনেছি এবং দেখেছি যার জায়গায় স্বচ্ছ এসএসএল প্রক্সি সার্ভার রয়েছে। সমস্ত ক্লায়েন্ট এই প্রক্সি শংসাপত্র বিশ্বাস করতে কনফিগার করা আছে। মূলত এর অর্থ হ'ল নিয়োগকর্তা তাত্ত্বিকভাবে এমনকি ব্রাউজারে পপিংয়ের কোনও সতর্কতা ছাড়াই এসএসএল এনক্রিপ্ট হওয়া ট্র্যাফিককেও বিরত রাখতে পারবেন। উপরে উল্লিখিত হিসাবে, ক্লায়েন্টরা শংসাপত্রের সাথে বিশ্বাসযোগ্য হয়ে আসে। এটি কেবল ব্যবহৃত হচ্ছে শংসাপত্রটি ম্যানুয়ালি বৈধতার মাধ্যমে প্রকাশ করা যেতে পারে।

আমার কাছে, এটি প্রদর্শিত হবে যেন কর্মচারীর এসএসএল ট্র্যাফিকের জন্য নিয়োগকর্তা তার উচ্চতর অবস্থানটি ব্যবহার করেন। আমার জন্য এটি এসএসএলের পুরো ধারণাটিকে অবিশ্বস্ত করে তোলে। আমি mitmproxy ব্যবহার করে সফলভাবে একটি অনুরূপ সেটআপ পরীক্ষা করেছি এবং ক্লায়েন্ট এবং আমার বৈদ্যুতিন ব্যাংকিং সার্ভারের মধ্যে যোগাযোগ পড়তে সক্ষম হয়েছি। এটি এমন তথ্য যা কারও কাছে প্রকাশ করা উচিত নয়।

সুতরাং, আমার প্রশ্নটি বরং সহজ: আমি কীভাবে সার্ভারের পক্ষে বিশ্বাসের শৃঙ্খাকে বৈধতা দিতে পারি? আমি নিশ্চিত করতে চাই যে ক্লায়েন্টটি আমার সার্ভারের শংসাপত্র এবং কেবলমাত্র একটি বিশ্বাসের শৃঙ্খলা ব্যবহার করে। আমি ভাবছি যদি এটি আপাচের এসএসএল কনফিগারেশন দ্বারা অর্জন করা যায়? এটি সুবিধাজনক হবে কারণ এটি সহজেই অনেকগুলি প্রয়োগে প্রয়োগ করা যেতে পারে। যদি এটি সম্ভব না হয় তবে পিএইচপি-তে এই করার কোনও উপায় কি কেউ জানেন? বা আপনার কাছে অন্য কোনও পরামর্শ আছে?


1
এটি ঠিক আছে যদি নিয়োগকর্তা কর্মীদের ট্র্যাফিক দেখেন। আপনি নিয়োগকর্তার সংস্থান (পিসি, নেটওয়ার্ক সংযোগ ইত্যাদি) ব্যবহার করছেন, এগুলি আপনার নয়। এবং যদি আপনি উদ্বেগ প্রকাশ করেন যে এমপ্লায়ার আপনার ব্যাঙ্কিং অ্যাকাউন্টে প্রেরণ করা ডেটা দেখতে পারে - এটি ঘরে বসে কাজ করুন না। এবং কর্পোরেট সুরক্ষা নীতি লঙ্ঘন করার প্রচেষ্টা আপনার বিরুদ্ধে আদালতের বিষয় হতে পারে।
ক্রিপ্ট 32

2
অনেক ইউরোপীয় সংস্থায় অফিস সরঞ্জামের ব্যক্তিগত ব্যবহার চাকরীর চুক্তিতে নিয়ন্ত্রিত হয়। আমি যে সংস্থায় কাজ করি সেখানে আমি ব্যক্তিগতভাবে সার্ফ করতে পারি, এটি কোনও সমস্যা নয়। পর্ন, ফাইল শেয়ারিং ইত্যাদির মতো ব্যতিক্রম রয়েছে একই সাথে এমন আইন রয়েছে যা সংস্থাগুলি তাদের কর্মীদের জন্য গুপ্তচরবৃত্তি অস্বীকার করে। সুতরাং, আমার - এবং আরও অনেকের জন্য - নিয়োগকর্তারা কর্মচারী ট্র্যাফিককে বাধা দিলে এটি ঠিক হয় না কারণ অনেক সংস্থায় ব্যক্তিগত সার্ফিং সহ্য করা হয় যখন এটি স্পষ্টভাবে নিষিদ্ধ।
Aileron79

2
বেশিরভাগ (আমার অভিজ্ঞতার সাথে) মার্কিন সরকারের মালিকানাধীন ওয়ার্কস্টেশনগুলিতে প্রতিটি লগইনে এই দুটি নোটিশ অন্তর্ভুক্ত থাকে: "এই আইএসটি ব্যবহার করে বা সংরক্ষণ করা ডেটা, এটি ব্যক্তিগত নয়, এটি রুটিন মনিটরিং, আটকানো, এবং অনুসন্ধানের সাপেক্ষে প্রকাশিত বা ব্যবহৃত হতে পারে যে কোনও ইউএসজি অনুমোদিত উদ্দেশ্যে। এই আইএসে ইউএসজির স্বার্থ সুরক্ষার জন্য সুরক্ষা ব্যবস্থা (যেমন, প্রমাণীকরণ এবং অ্যাক্সেস নিয়ন্ত্রণ) অন্তর্ভুক্ত - আপনার ব্যক্তিগত সুবিধা বা গোপনীয়তার জন্য নয় "" এই ব্যবস্থাগুলির ব্যবহার প্রায়শই একই স্বাক্ষরিত চুক্তি দ্বারা আবৃত থাকে। মূল বিশদটি হ'ল সিস্টেমটির মালিক আপনার বিরুদ্ধে নিজেকে রক্ষা করছেন।
র‌্যান্ডাল

মার্কিন যুক্তরাষ্ট্র এবং ইউরোপের মধ্যে অনেক পার্থক্যের মধ্যে এটি একটি। উপরে র‍্যান্ডাল দেওয়া শর্তাদি বেশিরভাগ ইউরোপীয় দেশগুলিতে অবৈধ।
Aileron79

আমি যে শর্তগুলি উদ্ধৃত করেছি সেগুলি অসম্পূর্ণ, অন্যান্য পদ শর্তাদি ক্রিয়াকলাপ যা স্পষ্টভাবে পর্যবেক্ষণ করা হবে না। আমি এমন কোনও রেফারেন্স পাই না যা জানিয়েছে যে ইউরোপীয় নিয়োগকারীরা তাদের পূর্ববর্তী শর্তাদি তাদের কম্পিউটারগুলি ব্যবহারের শর্ত তৈরি করতে পারে না (আমি ইউরোপে পরিচালিত এমন সংস্থার হয়ে কাজ করি, এ জাতীয় পর্যবেক্ষণ প্রক্রিয়া স্থাপন করি, যদিও আমি এমন বিভাগে কাজ করি যা ব্যবসা করছে না ইউরোপ), তবে এমন রেফারেন্সগুলি খুঁজে পেতে পারে যা প্রস্তাব দেয় যে এ জাতীয় পদগুলি যতক্ষণ না তারা স্পষ্ট এবং স্বচ্ছ হয় অবৈধ নয়।
রেন্ডাল

উত্তর:


9

আমি মনে করি এই প্রশ্নটি সিকিউরিটি.স্ট্যাকেক্সচেঞ্জ.কমের জন্য আরও উপযুক্ত হবে যেখানে এমআইটিএমের বিষয়টি বহু প্রশ্নে আলোচিত হয়। তবে যাইহোক:

সার্ভার শংসাপত্রের বৈধতা কেবল ক্লায়েন্টের কাছেই করা হয় এবং ক্লায়েন্টের শংসাপত্রের বৈধতা দেওয়ার বিষয়টি হ'ল, ক্লায়েন্টরা এটি সঠিক সার্ভারের সাথে কথা বলেছে এবং এটি বিশ্বাস করতে পারে না তা নিশ্চিত করা দরকার (অবিশ্বস্ত) সার্ভার ক্লায়েন্টের জন্য এই সিদ্ধান্ত নিতে।

এসএসএল বাধা দেওয়ার ক্ষেত্রে সার্ভারের দৃষ্টিকোণ থেকে টিএলএস ক্লায়েন্টটি হ'ল এসএসএল ইন্টারসেপিং ফায়ারওয়াল / এভি। সুতরাং সার্ভার সাইডের সমস্যাটি সনাক্ত করা এটি প্রত্যাশিত ক্লায়েন্টের সাথে (ব্রাউজার) কথা বলছে কিনা (ফায়ারওয়াল / এভি) if এটি করার সবচেয়ে নিরাপদ উপায় হল ক্লায়েন্টের অনুমোদনের জন্য ক্লায়েন্টের শংসাপত্রগুলি ব্যবহার করা - এবং আসলে ক্লায়েন্ট প্রমাণীকরণ ব্যবহৃত হলে এসএসএল ইন্টারসেপশন কাজ করবে না, যেমন টিআইএলএস হ্যান্ডশেক ব্যর্থ হবে যেহেতু এমআইটিএম প্রত্যাশিত ক্লায়েন্ট শংসাপত্র সরবরাহ করতে সক্ষম হয় না।

কেবলমাত্র ক্লায়েন্টের শংসাপত্রগুলি খুব কমই ব্যবহৃত হয়। এছাড়াও, ব্যর্থ হওয়া টিএলএস হ্যান্ডশেকের অর্থ এই নয় যে ক্লায়েন্টটি এসএসএল বাধা ছাড়াই সার্ভারের সাথে যোগাযোগ করতে পারে তবে ক্লায়েন্টটি সার্ভারের সাথে মোটেই যোগাযোগ করতে পারে না। বিকল্প উপায় হ'ল টিএলএস হ্যান্ডশেকের ফিঙ্গারপ্রিন্টের উপর ভিত্তি করে টিএলএস ক্লায়েন্টের ধরণ সনাক্তকরণের জন্য কিছু হিউরিস্টিক্স ব্যবহার করা হবে, অর্থাত্ সিফারদের ধরণ এবং ক্রম, নির্দিষ্ট এক্সটেনশনের ব্যবহার ... অন্যদিকে কোনও এসএসএল বাধা প্রক্সি তত্ত্বের ভিত্তিতে মূলটি অনুকরণ করতে পারে ক্লায়েন্টহেলো পুরোপুরি না। আরও দেখুন সনাক্ত ম্যান-ইন--মধ্য HTTPS দ্বারা জন্য সার্ভার পাশ বা অধ্যায় তৃতীয় TLS এর বাস্তবায়ন হিউরিস্টিক মধ্যে HTTPS দ্বারা বাধা নিরাপত্তা ইমপ্যাক্ট


14

আমার কাছে, এটি প্রদর্শিত হবে যেন কর্মচারীর এসএসএল ট্র্যাফিকের জন্য নিয়োগকর্তা তার উচ্চতর অবস্থানটি ব্যবহার করেন। আমার জন্য এটি এসএসএলের পুরো ধারণাটিকে অবিশ্বস্ত করে তোলে

সমস্যাটি এসএসএলের ধারণা বা প্রযুক্তিগত বাস্তবায়নের নয়, বরং এই যে সংযোগের এক প্রান্তে, অর্থাৎ আপনার ওয়ার্কস্টেশনের উপর অন্য কারও সম্পূর্ণ নিয়ন্ত্রণ রয়েছে।
এটিই আসল সুরক্ষা ঝুঁকির মূল ...

সুরক্ষার দৃষ্টিকোণ থেকে এটি আপনার ওয়ার্কস্টেশনটি আপোস করা হয় যা বিশ্বাসের শৃঙ্খলা ভঙ্গ করে যে সাধারণ পরিস্থিতিতে একটি এমআইটিএম সফল হতে বাধা দেয়।

আমি কীভাবে সার্ভারের পক্ষের বিশ্বাসের চেইনকে বৈধতা দিতে পারি?

আপনি পারবেন না। এটি ক্লায়েন্ট পাশ করা হয়।

আপনার ব্যবহারের ক্ষেত্রে নির্ভর করে আপনি যা করতে পারেন তা হ'ল আরএফসি 69 7469TP এইচটিটিপি পাবলিক কী পিনিং যেখানে আপনি ক্লায়েন্টকে আপনার আসল এসএসএল শংসাপত্রের একটি তালিকা (হ্যাশ) দিয়ে বা সিডি ব্যবহার করেন সেটির সাথে অতিরিক্ত শিরোনাম প্রেরণ করেছিলেন।


4
এইচপিকেপি সাহায্য করবে না যেহেতু ব্রাউজারগুলি এটিকে উপেক্ষা করবে যদি শংসাপত্রটি স্পষ্টভাবে যুক্ত সিএ দ্বারা স্বাক্ষরিত হয়। এটি বিশেষত কোনও বিশ্বস্ত পক্ষের দ্বারা এসএসএল ইন্টারসেপশনকে অনুমতি দেওয়ার জন্য করা হয়, যেমন কর্পোরেট ফায়ারওয়াল বা স্থানীয় ডেস্কটপ এভি (অনেকে এসএসএল ইন্টারসেপশন করেন) to
স্টিফেন আলরিচ

2
আপনি সেখানে একেবারে সঠিক: আরএফসি থেকে .62.6: "স্থানীয় নীতি অনুসারে কিছু হোস্টের জন্য পিন
এইচবিউইজন

3

এটাই ভুল উপায়। সার্ভার বিশ্বাসের চেইনটি পরীক্ষা করে না। এটি ক্লায়েন্ট। সুতরাং কেন কোম্পানী এইভাবে ব্যবহার করছে তার কারণ হ'ল সংস্থাটি vভভকে সুরক্ষিত করা এবং কর্মচারী তার কাজের সময়কালে কী করছে তা পরীক্ষা করে দেখানো।


ঠিক আছে, হ্যাঁ, আমি সচেতন যে এটি সম্ভবত একা সার্ভারে আটকানো যায় না। তবে কিছু ক্লায়েন্ট-সাইড জেএসকেও ফাঁকি দেওয়া হতে পারে। বিটিডাব্লু, বেশিরভাগ ইউরোপীয় দেশেই কর্মচারীদের উপর গুপ্তচরবৃত্তি অবৈধ। একটি ওয়েবসাইট অপারেটর হিসাবে আমি আমার ক্লায়েন্টদের বোকা বানানো রোধ করতে চাই, এইভাবে আমি আশ্চর্য হয়েছি যে আমি নিরাপদ উপায়ে বিশ্বাসের চেইনকে বৈধতা দেওয়ার কোনও উপায় আছে কিনা is
ile:৩৩ এএলিরন 79৯

সম্ভবত এটি অনুমোদিত নয়। তবে বেশিরভাগ সংস্থাগুলি কর্মচারীদের জন্য গুপ্তচরবৃত্তি করে না, তারা কেবল সেখানেই নেটওয়ার্ক নেটওয়ার্ক সুরক্ষিত করতে চায় এবং বেশিরভাগ ওয়েব ফিল্টার বা স্ক্যানারকে এটি পরীক্ষা করার জন্য এসএসএল সংযোগটি বিচ্ছেদ করতে হবে। সুতরাং এটি মধ্য আক্রমণে একজন আইনী ব্যক্তি

আমি আপনার বক্তব্য বুঝতে পারি। যাইহোক, এই প্রশ্নটি কীভাবে আমি নিশ্চিত করতে পারি যে এইচটিটিপিএস সংযোগটি এনক্রিপ্ট করা শেষ-থেকে-শেষের মধ্যে রয়েছে। উপরে বর্ণিত সেটআপটি কর্পোরেট পরিবেশে খুব সাধারণ, তবে একই ধরনের আক্রমণ jeর্ষা করা ছেলেদের দ্বারা তাদের গার্লফ্রেন্ডের জন্য গুপ্তচরবৃত্তি করতে বা বাড়িওয়ালারা তাদের ভাড়াটিয়া ট্র্যাফিককে বাধা দিয়ে ব্যবহার করতে পারে। এই লোকদের এখনও একটি শংসাপত্র ইনস্টল করার চেষ্টা করা প্রয়োজন, কিন্তু এটি সহজ অংশ। তবে এটি অবৈধ - এবং এখনও আমি ভাবছি যে এইচটিটিপিএস সংযোগটি সত্যই এনক্রিপ্ট করা আছে কিনা তা নিশ্চিত করার কোনও উপায় আছে কিনা।
আইলেরোন 79৯

3
এটা সম্ভব না. রুট শংসাপত্রটি যখন ক্লায়েন্টের পরিবর্তিত হয় তখন আপনার এটি পরীক্ষা করার কোনও উপায় নেই। সার্ভার চেক তৈরি করে না, ক্লায়েন্ট চেক করে তোলে।
beli3ver

3

আপনি কুল্ড (ধরণের), তবে আসল প্রশ্নটি আপনি করা উচিত কিনা ।

তবে সাবধান থাকুন, এটি apache.conf এ পতাকা পরিবর্তন করার মতো সহজ কোথাও নেই।

এছাড়াও, "আক্রমণকারী" (যেমন। নিয়োগকর্তা) ক্লায়েন্ট কম্পিউটারকে নিয়ন্ত্রণ করে, তারা যদি আপনার প্রচেষ্টাটি প্রচুর পরিমাণে বিনিয়োগ করার ঝোঁক থাকে তবে তারা সর্বদা আপনার প্রচেষ্টা বানচাল করতে পারে (উজ্জ্বল দিকে, যদি আপনি খুব বড় মাছ না হন তবে তারা সম্ভবত সম্ভবত না প্রবণতা, যাতে আপনি আপনার লক্ষ্যটি অর্জন করবেন যে এটির সুরক্ষিত না হলে আপনার ব্যবহারকারীরা আপনার সাথে সংযোগ করতে সক্ষম হবে না))

  • আপনি জাভাস্ক্রিপ্টে টিএলএস পুনরায় সংশোধন করতে পারেন এবং ক্লায়েন্টটি সংযুক্ত আছে কিনা তা সেখানে পরীক্ষা করে দেখুন আপনার ওয়েবসাইটের শংসাপত্র।

  • যদি আপনি ভাগ্যবান , ব্যবহারকারী ব্রাউজার ব্যবহার করা যেতে পারে যেখানে ক্লায়েন্ট-সাইড জাভাস্ক্রিপ্ট (সহজে এবং এইভাবে আপনার সার্ভারের সার্টিফিকেটের হার্ডকোডেড মান বিরুদ্ধে এটিকে যাচাই) দূরবর্তী ব্যবহৃত শংসাপত্রের সম্পর্কে তথ্য পেতে পারেন।

  • আপনি নিজের কাস্টম এনক্রিপশন চালানোর জন্য জাভাস্ক্রিপ্ট ব্যবহার করতে পারেন । সুতরাং এমনকি যখন সংস্থার অশুভ টিএলএস এমআইটিএম সাফল্য পেয়েছে তখনও এটি এটি আপনার ডেটাতে অ্যাক্সেস দেয় না। অবশ্যই, যদি যথেষ্ট আগ্রহী থাকে (এবং যেহেতু তারা ক্লায়েন্টকে নিয়ন্ত্রণ করে), তবে তারা কেবলমাত্র ঝাঁকুনিতে আপনার সুরক্ষিত জাভাস্ক্রিপ্টকে তাদের নিজস্ব প্রতিস্থাপন করতে পারে যা ট্রানজিটে সমস্ত তথ্য লগ (বা পরিবর্তন) করে।

এছাড়াও, যেসব ব্যবসায়ীরা টিএলএস এমআইটিএম প্রক্সিকে নিযুক্ত করে তারা সাধারণত ক্লায়েন্ট কম্পিউটারকে সম্পূর্ণ নিয়ন্ত্রণ করে, তাই ব্যবহারকারীরা যা কিছু দেখেন তার ভিডিও কেবল রেকর্ড করতে এবং ব্যবহারকারীর ধরণের সমস্ত কীস্ট্রোক (এবং মাউস মুভমেন্ট) রেকর্ড করতে তারা সহজেই স্ক্রিন এবং কীলগারটি ইনস্টল করতে পারে। যেহেতু আপনি দেখতে পারেন, যখন আক্রমণকারী IS ক্লায়েন্ট, তার মূর্খ কোন একেবারে নিরাপদ উপায়। তারা সত্যিই কেবল একটি প্রশ্ন যা তারা কতটা বিরক্ত করছে ... এবং উপরের কিছু সমাধান আপনার পক্ষে যথেষ্ট ভাল হতে পারে।


" আপনি জাভাস্ক্রিপ্টে টিএলএস পুনরায় প্রতিস্থাপন করতে পারেন " কিভাবে? কোথায়?
কৌতূহলী

@ কুরিয়াসগুয়ে যে পাঠ্যটি রৌদ্ধিকভাবে একটি লিঙ্ক - এটিতে ক্লিক করুন এবং এটি আপনাকে অন্য প্রশ্নোত্তর এবং শেষ পর্যন্ত ডিজিটালবাজার / ফোর্জে প্রকল্পে নিয়ে যাবে
মতিজা নালিস

সুতরাং, এটি কখন ব্যবহারযোগ্য? কোন উদ্দেশ্যে?
কৌতূহলী

বিশেষত এই সার্ভারফল্ট প্রশ্নে জিজ্ঞাসা করা উদ্দেশ্যে অন্যান্য অনেক কিছুর মধ্যে @ কুরিয়াসগুই। যখন আপনার নিজের জেএস টিএলএস ক্লায়েন্টের সাথে চলছে, তখন সেই ক্লায়েন্ট জেএস জানতে পারবে ঠিক কী টিএলএস সার্ভারের সাথে ক্লায়েন্টটি সংযুক্ত হয়েছে (এবং এটি সর্বজনীন কী)। তারপরে আপনি সেই সার্বজনীন কীটিকে অনুমোদিত সার্ভার পাবলিক কী (আপনার জেএসে হার্ডকডযুক্ত) দিয়ে তুলনা করতে পারেন এবং আপনি যদি জানতে পারবেন যে সেগুলি কি তবে একই রকম। যদি সেগুলি না হয় তবে আপনার সংযোগটি এমআইটিএম হাইজ্যাক করেছে।
মাতিজা নালিস
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.