ใบรับรองความปลอดภัยแบบก้าวกระโดดก่อให้เกิดความน่าเชื่อถือของ SSL

ในฐานะผู้บริโภคเราได้รับการสอนให้เชื่อมั่นในไอคอนรูปกุญแจล็อคที่ปรากฏบนแถบที่อยู่ของเบราว์เซอร์ของเรา เราบอกว่านี่เป็นสัญญาณการสื่อสารกับเว็บไซต์ของเราอย่างปลอดภัย แต่เหตุการณ์ที่เกิดขึ้นในสัปดาห์นี้เกี่ยวกับ Google และ บริษัท รักษาความปลอดภัยในตุรกีปฏิเสธความคิดนั้น

บริษัท TurkTrust เปิดเผยว่าในเดือนสิงหาคม 2554 บริษัท ได้ออกคีย์หลักสองคีย์ให้กับ "นิติบุคคล" สองชุด คีย์หลักซึ่งเรียกว่าใบรับรองระดับกลางอนุญาตให้หน่วยงานสร้างใบรับรองดิจิทัลสำหรับโดเมนใดก็ได้บนอินเทอร์เน็ต

ใบรับรองดิจิทัลเป็นกุญแจเข้ารหัสที่ใช้ในการยืนยันเว็บไซต์จริงๆเป็นสิ่งที่ระบุว่าเป็น ตัวอย่างเช่นใบรับรองสำหรับธนาคารของคุณจะยืนยันไปยังเบราเซอร์ของคุณว่าคุณกำลังพูดคุยกับธนาคารของคุณอยู่เสมอเมื่อคุณทำธุรกิจออนไลน์

[อ่านเพิ่มเติม: วิธีลบมัลแวร์จากคอมพิวเตอร์ที่ใช้ Windows ของคุณ]

ใช้ใบรับรอง เพื่อเข้ารหัสข้อมูลระหว่างคุณและเว็บไซต์ด้วย นั่นคือสิ่งที่กุญแจเล้าสีเขียวบนแถบที่อยู่ของเบราเซอร์หมายถึง เบราว์เซอร์กำลังติดต่อสื่อสารกับเว็บไซต์โดยใช้ Secure Sockets Layer หลังจากตรวจสอบความถูกต้องของข้อมูล

ผู้กระทำผิดทางอินเทอร์เน็ตที่มีใบรับรองปลอมที่สามารถดักจับการติดต่อสื่อสารระหว่างคุณกับเว็บไซต์ที่เชื่อถือได้อาจทำให้เบราเซอร์ของคุณเชื่อได้ว่ากำลังสื่อสารกับไซต์ที่เชื่อถือได้ และจี้การสื่อสารของคุณ ที่เรียกว่า "ชายคนหนึ่งในการโจมตีระดับกลาง" เพราะโจรนั่งระหว่างคุณกับไซต์ที่เชื่อถือได้

ข้อผิดพลาดที่แก้ไขแล้วปัญหายังคงเกิดขึ้น

ข้อผิดพลาดของ TurkTust ถูกค้นพบโดย Google ในวันคริสต์มาสอีฟโดยคุณลักษณะที่มีในเบราว์เซอร์ Chrome แพลตฟอร์มที่ยกธงสีแดงให้กับ Google เมื่อมีผู้พยายามใช้แพลตฟอร์มด้วยใบรับรองที่ไม่ได้รับอนุญาต

หลังจากพบปัญหาเกี่ยวกับใบรับรอง Google แจ้ง TurkTrust เกี่ยวกับสถานการณ์รวมทั้ง Microsoft และ Mozilla ที่มีการแก้ไขแพลตฟอร์มเบราว์เซอร์ทั้งหมด เพื่อป้องกันใบรับรองที่ไม่เป็นอันตรายที่สร้างขึ้นโดยผู้ให้บริการใบรับรองระดับกลาง

ใบรับรองนี้เป็นเพียงสัญญาณล่าสุดที่แสดงว่าระบบที่มีอยู่ในการออกใบรับรองดิจิทัลต้องการการแก้ไข ในเดือนมีนาคมปี 2554 บริษัท มีส่วนเกี่ยวข้องกับผู้ออกใบรับรอง Comodo ถูกละเมิดและออกใบรับรองปลอม 9 ฉบับ

ต่อมาในปีแฮ็กเกอร์ละเมิดอำนาจการออกใบรับรองของดัตช์ DigiNotar และได้ออกใบรับรองปลอมจำนวนหลายสิบฉบับ Google ผลกระทบจากเหตุการณ์ดังกล่าวทำให้ บริษัท เลิกกิจการ

ต้องการ: การรักษาความปลอดภัยของ Next-gen

มีการออกข้อเสนอเพื่อแก้ไขปัญหาด้านความปลอดภัยโดยรอบใบรับรอง

มี Convergence ช่วยให้เบราว์เซอร์ได้รับความคิดเห็นที่สองเกี่ยวกับใบรับรองจากแหล่งที่ผู้ใช้เลือก "Chet Wisniewski, ที่ปรึกษาด้านความปลอดภัยของ Sophos กล่าวว่า" มันเป็นความคิดที่ยอดเยี่ยม แต่ทันทีที่คุณได้รับเครือข่ายขององค์กรและคุณอยู่เบื้องหลังพร็อกซี่หรือหลังล่ามเครือข่ายก็สามารถทำลาย "

มี DNSSEC ใช้ระบบตั้งชื่อโดเมนเนม ​​- ระบบที่จะเปลี่ยนชื่อเว็บไซต์ให้เป็นตัวเลข - เพื่อสร้างลิงก์ที่เชื่อถือได้ระหว่างผู้ใช้และเว็บไซต์ Wisniewski กล่าวว่า "ปัญหาเกี่ยวกับ DNSSEC คือต้องใช้เทคโนโลยีใหม่และการปรับโครงสร้างพื้นฐานก่อนหน้าที่จะสามารถใช้ประโยชน์ได้" "ด้วยอัตราการนำไปใช้ที่เราได้เห็นจนถึงตอนนี้นั่นหมายความว่าเราจะไม่มีทางแก้ไขในสถานที่สิบถึงสิบห้าปีนั่นยังไม่ดีพอ"

นอกจากนี้ยังเสนอให้ใช้เทคนิคการปักหมุด "คีย์สาธารณะ" สองแบบ ส่วนขยายสำหรับ HTTP และ Assertions ที่เชื่อถือได้สำหรับ Certificate Keys (TACK) ซึ่งคล้ายคลึงกัน

อนุญาตให้เว็บไซต์แก้ไขส่วนหัว HTTP เพื่อระบุหน่วยงานออกใบรับรองที่เชื่อถือได้ เบราเซอร์จะจัดเก็บข้อมูลดังกล่าวและสร้างการเชื่อมต่อกับเว็บไซต์เท่านั้นหากได้รับใบรับรองที่เซ็นชื่อโดยผู้ออกใบรับรองที่เว็บไซต์เชื่อถือได้

ข้อเสนอแนะการตรึงข้อพิพาทส่วนใหญ่น่าจะได้รับการนำมาใช้ในการแก้ปัญหาใบรับรองตาม Wisniewski "พวกเขาอาจถูกนำมาใช้ในระยะเวลาสั้น ๆ " เขากล่าว "พวกเขาอนุญาตให้ผู้ที่ต้องการใช้ประโยชน์จากความปลอดภัยขั้นสูงในการดำเนินการดังกล่าวได้ทันที แต่ไม่ทำลายเว็บเบราเซอร์ใด ๆ ที่มีอยู่ซึ่งไม่ได้รับการอัพเดต"

ไม่ว่าผู้ใช้เบราว์เซอร์โครงการใดจะใช้เพื่อแก้ไขปัญหาใบรับรอง ทำเร็ว ๆ นี้ ไม่เช่นนั้น snafus จะงอกขึ้นและเชื่อมั่นบนอินเทอร์เน็ตอาจถูกทำร้ายไม่สามารถแก้ไขได้