Tarmoq hujumiga qarshi mudofaa 673
Uskunani boshqa, zararsiz, birini ko'rsatish orqali odamlarni xabarga imzo chekish uchun aldash2.
Biroq, qotil biznes ehtiyojlari bo'lib chiqdi. Bir nechta kalitlar biznes uchun qulayroqdir, chunki kirish tokenlarini almashish kattaroq ma'muriy xarajatlar va javobgarlik muammolariga olib kelishi mumkin. Kalitlarni almashish uchun ko'p urinishlar bo'lgan; smartkarta sanoati 1990-yillar davomida bank kartalari, elektr hisoblagich kartalari va hatto kirish kartalari sifatida ishlay oladigan "ko'p funktsiyali smartkartalarni" sotishga harakat qildi. Singapur hatto bunday sxemani amalga oshirdi, unda hatto harbiy guvohnoma ham bank kartalari sifatida ikki baravar ko'paydi. Biroq, bunday sxemalar deyarli yo'q bo'lib ketdi. Men ishlagan birida - bank kartalarini elektr hisoblagichlarida qayta ishlatish - mijozlar bazasi va kartalarni ishlab chiqish, yangilash va qayta chiqarish jarayonini nazorat qilish masalalari
edi. Boshqa hollarda, hech kim smart-kartada qaysi kompaniya logotipi bo'lishi haqida kelisha olmagani uchun loyihalar asos solingan.
Endi standart PKI apparati (X.509 protokol to'plami) asosan telefon kitobini elektron almashtirishni ta'minlash uchun ishlab chiqilgan, shuning uchun u ochiq PKI arxitekturasida har bir kishi o'ziga xos nom va noyob kalitga ega bo'ladi deb taxmin qiladi. Hukumatlar kalitlarni litsenziyalash va nazorat qilish uchun dunyoning "bir kalit hammaga mos" modeliga umid qilishgan. Biroq, aksariyat ilovalarda tabiiy yechim har bir biznes uchun o'zining yopiq PKI-ni ishga tushirishidir, bu tizim darajasida mijozlarga boshqa hech kim bilan baham ko'rilmaydigan noyob hisob raqamini berish deb o'ylash mumkin. O'shandan beri CA bozori buzildi; 1990-yillarning oxirida Internet Explorer faqat bir nechta
CA kalitlari bilan ta'minlangan bo'lsa (ularni boshqargan firmalarga katta bo'lsa ham, vaqtinchalik boylik baxsh etadi), endi Windows XP versiyasida yuzlab kalitlar mavjud.
Bu o'z navbatida ishonch muammolariga olib keladi. Oddiy brauzer tomonidan imzosi qabul qilinadigan kalitni kim boshqarishini bilmaysiz. Qo'shimcha masalalar o'z ichiga oladi
Agar siz Windows XP Service Pack 2 dan 200 dan ortiq ildiz sertifikatlaridan birini olib tashlasangiz, Windows uni jimgina almashtiradi - agar siz buni amalga oshiradigan dasturiy ta'minotni ajratib olish qobiliyatiga ega bo'lmasangiz [613]. Vista kamroq ildiz sertifikatlari bilan
birga keladi - lekin ularni umuman o'chira olmaysiz. Bu raqobatchiga ishonishni istamaydigan kompaniya yoki xorijliklarga ishonishni istamaydigan hukumat uchun yomon yangilik bo‘lishi mumkin. Masalan, yirik CA Verisign ham AQSh hukumati uchun telefon tinglash ishlarini olib boradi; shuning uchun agar men Xitoyda ishlayotgan bo'lsam, men hech qanday xitoylik shaxsiy kompyuter o'z sertifikatlariga ishonishini istamasdim (chunki
Verisign shunchaki yomon veb-sahifalarga imzo chekishi mumkin emas - ular Xitoy mashinalari o'rnatadigan va ishga tushiradigan kodni ham imzolashlari mumkin edi).
Foydalanish qo'rqinchli, chunki ko'p saytlar eskirgan sertifikatlardan yoki noto'g'ri kompaniyaga mos keladigan sertifikatlardan foydalanadi. Natijada, foydalanuvchilar
xavfsizlik ogohlantirishlariga e'tibor bermaslikka yaxshi o'rgatilgan. Misol uchun, qachon Yangi Zelandiya banki
2Men hatto shaxsiy shaxsiy kompyuterimda ham yaratgan raqamli imzoga qanday ishonch hosil qilishni bilmayman — va men xavfsizlik sohasida o‘n besh yildan ortiq ishlaganman. Displey va imzo dasturiy ta'minoti o'rtasidagi muhim yo'lda barcha dasturiy ta'minotni tekshirish mening sabrimdan tashqarida.
674 21-bob ÿ Tarmoqqa hujum va mudofaa
Sertifikatini chalkashtirib yubordi, natijada foydalanuvchilar bankka toÿgÿri kelmasligi haqida ogohlantirildi, 300 ta foydalanuvchidan faqat bittasi toÿxtab qoldi, qolganlari esa oÿz bizneslarini davom ettirishdi [569].
Foydalanuvchilar sertifikatlar ishlayaptimi yoki yo'qligiga ahamiyat bermasligi juda yomon; Shunga qaramay, CAlar ham bunga ahamiyat bermaydilar. Buyuk Britaniya Tscheme sertifikati sanoat tomonidan Elektron aloqalar to'g'risidagi qonunga muvofiq o'zini o'zi tartibga solish sxemasi sifatida "elektron biznes va elektron hukumat tranzaktsiyalarining
barcha turlari uchun mustaqil kafolat manbai, ayniqsa ishonchli, xavfsiz onlayn identifikatorlar.
2006 yil iyul oyida https://www.tscheme.org/ sertifikatlash yo'li noto'g'ri sozlanganligi aniqlandi : zanjirning o'rtasida sertifikat etishmayotgan edi, shuning uchun etishmayotgan sertifikatni qo'lda qo'shmasangiz, tekshirish amalga oshmadi. 2007 yil dekabriga kelib, u hali ham to'g'ri tuzatilmagan. Hujjatlarga ko'ra, "HMG Root CA" hamma narsani tasdiqlashi kerak, ammo u "Trustis FPS Root CA" sxemasini tasdiqlamaydi va ikkalasi ham standart
Firefox tarqatilishiga kiritilmagan. Aftidan, CA dunyosida hamma ildiz bo'lishni xohlaydi va hech kim o'z kalitlarida boshqa birovning imzosini istamaydi, chunki ularda mavjud
bo'lish uchun hech qanday sabab bo'lmaydi. Shunday qilib, narsalar hali ham ishlamaydi.
Ko'pgina foydalanuvchilar o'z brauzerlarida xavfsizlik funksiyalarini o'chirib qo'yishadi, garchi ular dasturiy ta'minot yuborilganda sukut bo'yicha o'chirilgan bo'lmasa ham. Eslatib o'tamiz, TLS protokolining uchinchi bosqichi mijoz brauzeri uchun sertifikatni saqlangan ildiz sertifikatlari bilan tekshirish edi. Agar tekshiruv muvaffaqiyatsiz tugasa, brauzer mijozdan davom etish uchun ruxsat so'rashi mumkin; lekin ko'pgina brauzerlar baribir davom etish uchun tuzilgan.
Sertifikatlar kompaniya nomini DNS nomi bilan bog'laydi, lekin ularning sotuvchilari odatda ittifoqchi bo'lib, ikkalasida ham vakolatli organ emas; ular teskari tekshiruvdan so'ng sertifikatlarni topshirishadi va o'zlarining "sertifikatlash amaliyoti bayonotlari" ular barcha javobgarlikni rad etish uchun o'z yo'lidan borishadi.
Texnik kamchiliklar hali ham mavjud. Misol uchun, dominant sertifikat formati (X.509) kredit karta sanoati rivojlangan moslashuvchan va kengaytiriladigan “hot card” tizimiga
ega emas, balki sertifikatga tayangan har bir kishi sertifikatning bekor qilinishini yuklab olishi mumkin deb taxmin qiladi . bergan organning ro'yxati . Shuningdek, sertifikatlar ko'p maqsadlarda avtorizatsiyani tasdiqlamoqchi bo'lganida nomlarni tasdiqlash uchun mo'ljallangan.
Bu tartibsizliklar ortida, odatdagidek, xavfsizlik iqtisodiyoti yotadi. 1990-yillardagi dotkom portlashi paytida SSL protokoli (o'sha paytdagi TLS kabi) SET deb nomlangan yanada murakkab va og'irroq protokol ustidan g'alaba qozondi, chunki u ishlab chiquvchilarga kamroq yuk keltirdi [72]. Aynan shu sabab, Windows va Symbian kabi operatsion tizimlar dastlab juda kam xavfsizlik bilan ishlab chiqilgan
- ular ikki tomonlama bozorda qutbli pozitsiya uchun raqobatlashgan.
|
