Версии TLS, наборы шифров и совершенная прямая секретность

TLS (Transport Layer Security) — это криптографический протокол, защищающий большую часть интернет-коммуникаций: HTTPS, SMTPS, IMAPS, LDAPS и VPN используют TLS. TLS обеспечивает три свойства безопасности: конфиденциальность (шифрование предотвращает перехват), целостность (MAC предотвращает изменение данных) и аутентификацию (сертификаты подтверждают личность сервера). TLS развился из SSL (Secure Sockets Layer), который теперь считается устаревшим. Текущие версии — TLS 1.2 (широко распространённая) и TLS 1.3 (более быстрая и безопасная, рекомендованная для всех новых развёртываний).

TLS прошёл через несколько версий, и в старых были обнаружены критические уязвимости. SSL 2.0/3.0: устарели и уязвимы для атак POODLE и DROWN. TLS 1.0: признана устаревшей NIST и PCI-DSS в 2020 году (уязвима для BEAST и POODLE при использовании блочных шифров). TLS 1.1: признана устаревшей одновременно с TLS 1.0. TLS 1.2: текущий минимальный стандарт; безопасна при правильной настройке с сильными наборами шифров. TLS 1.3: выпущена в 2018 году; удаляет все слабые алгоритмы, требует прямой секретности, значительно ускоряет рукопожатие (1-RTT вместо 2-RTT) и предотвращает атаки на понижение версии. PCI-DSS 4.0 требует минимум TLS 1.2 и рекомендует TLS 1.3.

Набор шифров — это совокупность криптографических алгоритмов, используемых вместе в сеансе TLS. Каждый набор шифров определяет: алгоритм обмена ключами (как устанавливаются ключи сеанса), алгоритм аутентификации (как проверяется сервер), алгоритм блочного шифрования (что шифрует данные) и алгоритм кода аутентификации сообщения (MAC) (как проверяется целостность). Клиент и сервер договариваются о наборе шифров во время рукопожатия TLS — сервер выбирает самый сильный набор, который поддерживают обе стороны.

На этапе обмена ключами устанавливается ключ сеанса, не передаваемый по сети. Обмен ключами RSA (TLS 1.2): клиент шифрует предварительный секрет открытым ключом сервера; если закрытый ключ позднее будет скомпрометирован, все прошлые сеансы можно расшифровать. DHE (Diffie-Hellman Ephemeral): создаёт новую пару ключей для каждого сеанса; обеспечивает прямую секретность, но работает медленно. ECDHE (Elliptic Curve DHE): обеспечивает такую же прямую секретность, как DHE, но использует ключи меньшего размера и работает эффективнее — это предпочтительный способ обмена ключами и в TLS 1.2, и в TLS 1.3. TLS 1.3 требует использования ECDHE или DHE и полностью исключает обмен ключами RSA.

Идеальная прямая секретность (PFS) гарантирует, что даже после компрометации долгосрочного закрытого ключа сервера прошлые записанные сеансы нельзя будет расшифровать. PFS достигается с помощью эфемерного обмена ключами (ECDHE или DHE), при котором для каждого сеанса создаётся новая временная пара ключей, а после использования удаляется. Без PFS (при обмене ключами RSA) атакующий может записать все зашифрованные сеансы TLS сегодня, а затем расшифровать их задним числом, когда получит закрытый ключ. Стратегия наблюдения NSA «собрать сейчас, расшифровать позже» исходит из того, что цели в конечном счёте перейдут на более сильные ключи или квантовые компьютеры взломают используемые сегодня ключи.

Несколько устаревших компонентов шифров криптографически взломаны и должны быть отключены. Шифры NULL: шифрование полностью отсутствует. Экспортные шифры (атака FREAK): намеренно ослаблены для соблюдения экспортных правил US 1990-х годов. RC4: потоковый шифр со статистическими смещениями, использованными в атаках. DES и 3DES: блочные шифры со слишком маленькими размерами блока (атака SWEET32) или недостаточной длиной ключа. MD5 и SHA-1 для MAC: уязвимы к коллизиям. Анонимные шифры (aNULL): аутентификация сервера отсутствует. Современные конфигурации TLS должны разрешать в качестве блочных шифров только AES-GCM, ChaCha20-Poly1305, AES-CCM.

TLS 1.3 содержит несколько существенных улучшений безопасности по сравнению с версией 1.2. Обязательная PFS: обмен ключами RSA удалён — все сеансы используют ECDHE или DHE. Меньше наборов шифров: разрешены только 5 наборов шифров AEAD; согласование слабого шифра невозможно. Более быстрое рукопожатие: 1 обмен данными (1-RTT) вместо 2-RTT в TLS 1.2 и 0-RTT для возобновления сеанса (хотя 0-RTT связан с риском атак повторного воспроизведения). Зашифрованное рукопожатие: сертификат сервера шифруется во время рукопожатия, поэтому пассивные наблюдатели не могут определить, к какому сертификату, а значит и к какому веб-сайту, подключается клиент.

Атаки на понижение версии заставляют сервер TLS и клиента использовать более старую и слабую версию TLS или набор шифров, хотя обе стороны поддерживают более новые варианты. POODLE (Padding Oracle On Downgraded Legacy Encryption) использовала тот факт, что реализации TLS при ошибках соединения переходили на SSL 3.0. Способ защиты заключался в отключении SSL 3.0. FREAK и Logjam использовали экспортные шифры. TLS_FALLBACK_SCSV — псевдонабор шифров, который клиенты включают, чтобы сообщить: «это не моя предпочтительная версия». Если сервер видит этот сигнал и поддерживает более новую версию, он прерывает попытку понижения.

Аутентификация сервера TLS основана на проверке клиентом цепочки сертификатов до доверенного корневого CA. Критически важные проверки: срок действия (сертификат должен находиться в пределах периода действия), отзыв (проверка CRL или OCSP подтверждает, что сертификат не отозван), имя узла (SAN или CN должны соответствовать домену, к которому выполняется подключение) и цепочка подписей (подписи промежуточного CA и корневого CA действительны). Прозрачность сертификатов (CT) требует регистрировать все общедоверенные сертификаты в журналах CT, доступных только для добавления, что позволяет обнаруживать неправильно выданные сертификаты в течение нескольких минут после выдачи.

Qualys SSL Labs (ssllabs.com/ssltest) — эталонный инструмент для оценки конфигурации TLS веб-сервера. Он оценивает серверы по шкале от A+ (отлично) до F (критические проблемы) на основе поддерживаемых версий TLS, силы наборов шифров, действительности сертификата, конфигурации HSTS, поддержки прямой секретности и устойчивости к известным атакам. Для оценки A+ требуются: только TLS 1.2 и выше, все шифры ECDHE, действительный сертификат и HSTS с предварительной загрузкой. Организациям следует запускать проверки SSL Labs после первоначальной настройки и после любых изменений в стеке TLS. Многие стандарты соответствия (PCI-DSS) требуют периодической оценки конфигурации TLS.

Истёкшие сертификаты TLS вызывают перебои в работе и предупреждения для пользователей о недоверии, которыми пользуются атакующие. Управление жизненным циклом сертификатов включает: ведение всех сертификатов в реестре сертификатов, настройку уведомлений об окончании срока действия не менее чем за 30 дней до истечения, автоматическое продление с помощью протокола ACME (Let's Encrypt, Certbot), использование коротких сроков действия сертификатов (90 дней для общедоступных сертификатов) для уменьшения периода риска при компрометации и осторожное использование сертификатов с подстановочными именами (*.example.com), поскольку скомпрометированный сертификат с подстановочным именем затрагивает все поддомены. Платформы управления сертификатами (Venafi, DigiCert CertCentral) автоматизируют обнаружение и управление жизненным циклом больших реестров сертификатов.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что TLS 1.0/1.1 признаны устаревшими, TLS 1.2 является минимальным стандартом, а TLS 1.3 предпочтительна благодаря обязательной PFS и зашифрованным рукопожатиям; наборы шифров определяют обмен ключами (предпочтительно ECDHE), блочное шифрование (AES-GCM, ChaCha20) и алгоритмы MAC; а идеальная прямая секретность требует эфемерного обмена ключами (DHE/ECDHE), чтобы прошлые сеансы нельзя было расшифровать даже после компрометации ключа. Далее мы рассмотрим безопасный DNS: DNSSEC и DNS через HTTPS.