Wersje TLS, zestawy szyfrów i perfect forward secrecy

TLS (Transport Layer Security) to protokół kryptograficzny zabezpieczający większość komunikacji internetowej — HTTPS, SMTPS, IMAPS, LDAPS i sieci VPN korzystają z TLS. TLS zapewnia trzy właściwości bezpieczeństwa: poufność (szyfrowanie uniemożliwia podsłuchiwanie), integralność (MAC uniemożliwia nieuprawnione modyfikacje) oraz uwierzytelnianie (certyfikaty potwierdzają tożsamość serwera). TLS wywodzi się z SSL (Secure Sockets Layer), który jest obecnie przestarzały. Aktualne wersje to TLS 1.2 (szeroko wdrożona) i TLS 1.3 (szybsza i bezpieczniejsza, zalecana dla wszystkich nowych wdrożeń).

TLS doczekał się kilku wersji, a starsze z nich zawierały krytyczne luki. SSL 2.0/3.0: wycofane, podatne na ataki POODLE i DROWN. TLS 1.0: wycofany przez NIST i PCI-DSS w 2020 roku (podatny na ataki BEAST i POODLE w przypadku szyfrów blokowych). TLS 1.1: wycofany razem z TLS 1.0. TLS 1.2: obecny minimalny standard; bezpieczny przy prawidłowej konfiguracji z użyciem silnych zestawów szyfrów. TLS 1.3: wydany w 2018 roku; usuwa wszystkie słabe algorytmy, wymusza doskonałe utajnienie przekazywania, zapewnia znacznie szybsze uzgadnianie (1-RTT zamiast 2-RTT) i zapobiega atakom obniżającym wersję. PCI-DSS 4.0 wymaga co najmniej TLS 1.2 i zaleca TLS 1.3.

Zestaw szyfrów to zbiór algorytmów kryptograficznych używanych razem w sesji TLS. Każdy zestaw szyfrów określa: algorytm wymiany kluczy (sposób ustanawiania kluczy sesji), algorytm uwierzytelniania (sposób weryfikacji serwera), algorytm szyfrowania zbiorczego (sposób szyfrowania danych) oraz algorytm kodu uwierzytelniania wiadomości (MAC) (sposób weryfikacji integralności). Klient i serwer uzgadniają zestaw szyfrów podczas uzgadniania TLS — serwer wybiera najsilniejszy zestaw obsługiwany przez obie strony.

Etap wymiany kluczy ustanawia klucz sesji bez przesyłania go przez sieć. Wymiana kluczy RSA (TLS 1.2): klient szyfruje sekret wstępny kluczem publicznym serwera — jeśli klucz prywatny zostanie później przejęty, wszystkie wcześniejsze sesje można odszyfrować. DHE (Diffie-Hellman Ephemeral): generuje nową parę kluczy dla każdej sesji; zapewnia doskonałe utajnienie przekazywania, ale działa wolno. ECDHE (Elliptic Curve DHE): zapewnia takie samo doskonałe utajnienie przekazywania jak DHE, ale wykorzystuje krótsze klucze i działa wydajniej — jest preferowaną metodą wymiany kluczy zarówno w TLS 1.2, jak i TLS 1.3. TLS 1.3 wymaga ECDHE lub DHE, całkowicie usuwając wymianę kluczy RSA.

Doskonałe utajnienie przekazywania (PFS) gwarantuje, że nawet jeśli długoterminowy klucz prywatny serwera zostanie później przejęty, nie będzie można odszyfrować zarejestrowanych wcześniej sesji. PFS uzyskuje się dzięki efemerycznej wymianie kluczy (ECDHE lub DHE), podczas której dla każdej sesji generowana jest nowa, tymczasowa para kluczy, usuwana po użyciu. Bez PFS (przy wymianie kluczy RSA) atakujący może dziś zarejestrować wszystkie zaszyfrowane sesje TLS, a następnie odszyfrować je wstecz, gdy ostatecznie zdobędzie klucz prywatny. Strategia nadzoru NSA „zbierz teraz, odszyfruj później” zakłada, że cele z czasem przejdą na silniejsze klucze albo komputery kwantowe złamią obecnie używane klucze.

Wiele starszych komponentów szyfrowania jest złamanych kryptograficznie i należy je wyłączyć. Szyfry NULL: nie zapewniają żadnego szyfrowania. Szyfry klasy eksportowej (atak FREAK): celowo osłabione w celu spełnienia amerykańskich przepisów eksportowych z lat 90. RC4: szyfr strumieniowy z odchyleniami statystycznymi wykorzystywanymi w atakach. DES i 3DES: szyfry blokowe o zbyt małych rozmiarach bloku (atak SWEET32) lub niewystarczającej długości kluczy. MD5 i SHA-1 używane w kodach MAC: podatne na kolizje. Szyfry anonimowe (aNULL): nie uwierzytelniają serwera. Nowoczesne konfiguracje TLS powinny zezwalać jako szyfry zbiorcze wyłącznie na AES-GCM, ChaCha20-Poly1305, AES-CCM.

TLS 1.3 wprowadza kilka istotnych usprawnień bezpieczeństwa w porównaniu z TLS 1.2. Wymuszone PFS: usunięto wymianę kluczy RSA — wszystkie sesje korzystają z ECDHE lub DHE. Mniej zestawów szyfrów: dozwolonych jest tylko 5 zestawów szyfrów AEAD; nie można uzgodnić słabego szyfru. Szybsze uzgadnianie: 1 podróż w obie strony (1-RTT) zamiast 2-RTT w TLS 1.2 oraz 0-RTT przy wznawianiu sesji (choć 0-RTT wiąże się z ryzykiem ataków typu replay). Szyfrowane uzgadnianie: certyfikat serwera jest szyfrowany podczas uzgadniania, co uniemożliwia biernym obserwatorom ustalenie, z którym certyfikatem, a tym samym z którą witryną, łączy się klient.

Ataki obniżające wersję nakłaniają serwer TLS i klienta do użycia starszej, słabszej wersji TLS lub zestawu szyfrów, mimo że obie strony obsługują nowszą wersję. POODLE (Padding Oracle On Downgraded Legacy Encryption) wykorzystywał fakt, że implementacje TLS w przypadku błędów połączenia przełączały się na SSL 3.0. Sposobem przeciwdziałania było wyłączenie SSL 3.0. Ataki FREAK i Logjam wykorzystywały szyfry klasy eksportowej. TLS_FALLBACK_SCSV to pseudozestaw szyfrów dołączany przez klientów w celu zasygnalizowania „to nie jest moja preferowana wersja” — jeśli serwer go zobaczy i obsługuje wyższą wersję, przerywa próbę obniżenia wersji.

Uwierzytelnianie serwera TLS opiera się na weryfikacji przez klienta łańcucha certyfikatów serwera aż do zaufanego głównego urzędu certyfikacji (CA). Najważniejsze kontrole obejmują: ważność (certyfikat musi mieścić się w okresie ważności), unieważnienie (sprawdzenie CRL lub OCSP potwierdza, że certyfikat nie został unieważniony), nazwę hosta (SAN lub CN musi odpowiadać domenie, z którą nawiązywane jest połączenie) oraz łańcuch podpisów (podpisy pośredniego i głównego CA są prawidłowe). Certificate Transparency (CT) wymaga rejestrowania wszystkich publicznie zaufanych certyfikatów w dziennikach CT, do których można tylko dopisywać wpisy, co umożliwia wykrycie nieprawidłowo wydanych certyfikatów w ciągu kilku minut od ich wydania.

Qualys SSL Labs (ssllabs.com/ssltest) to uznawane za standard narzędzie do oceny konfiguracji TLS serwera internetowego. Ocenia serwery w skali od A+ (doskonała) do F (krytyczne problemy) na podstawie: obsługiwanych wersji TLS, siły zestawów szyfrów, ważności certyfikatu, konfiguracji HSTS, obsługi doskonałego utajnienia przekazywania oraz odporności na znane ataki. Ocena A+ wymaga: wyłącznie TLS 1.2 lub nowszego, wszystkich szyfrów ECDHE, prawidłowego certyfikatu oraz HSTS z preload. Organizacje powinny przeprowadzać testy SSL Labs po początkowej konfiguracji, a następnie po każdej zmianie stosu TLS. Wiele standardów zgodności, w tym PCI-DSS, wymaga okresowej oceny konfiguracji TLS.

Wygasłe certyfikaty TLS powodują przerwy w działaniu usług i ostrzeżenia o braku zaufania, które mogą wykorzystywać atakujący. Zarządzanie cyklem życia certyfikatów obejmuje: śledzenie wszystkich certyfikatów w ewidencji certyfikatów, konfigurowanie alertów o wygaśnięciu co najmniej 30 dni przed upływem ważności, automatyzację odnawiania za pomocą protokołu ACME (Let's Encrypt, Certbot), stosowanie krótkich okresów ważności certyfikatów (90 dni w przypadku certyfikatów publicznych) w celu ograniczenia czasu, w którym można wykorzystać przejęty certyfikat, oraz ostrożne używanie certyfikatów wieloznacznych (*.example.com), ponieważ przejęcie takiego certyfikatu wpływa na wszystkie subdomeny. Platformy do zarządzania certyfikatami (Venafi, DigiCert CertCentral) automatyzują wykrywanie certyfikatów i zarządzanie ich cyklem życia w dużych ewidencjach certyfikatów.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo: TLS 1.0/1.1 są wycofane, a TLS 1.2 jest minimalnym standardem, podczas gdy preferowany jest TLS 1.3 z wymuszonym PFS i szyfrowanym uzgadnianiem, zestawy szyfrów określają wymianę kluczy (preferowany ECDHE), szyfrowanie zbiorcze (AES-GCM, ChaCha20) i algorytmy MAC, a doskonałe utajnienie przekazywania wymaga efemerycznej wymiany kluczy (DHE/ECDHE), dzięki czemu wcześniejszych sesji nie można odszyfrować nawet po przejęciu klucza. Następnie omówimy bezpieczny DNS: DNSSEC i DNS over HTTPS.