WikiDer > Закрепление открытого ключа HTTP

HTTP Public Key Pinning

Закрепление открытого ключа HTTP (HPKP) устарел Интернет-безопасность механизм, поставляемый через HTTP заголовок который позволяет HTTPS сайты сопротивляться выдача себя за другое лицо злоумышленниками, использующими неправильно выпущенные или иным образом мошеннические цифровые сертификаты.[1] Сервер использует его для доставки клиент (например. веб-браузер) набор хэшей открытые ключи который должен появиться в цепочке сертификатов будущих подключений к тому же доменное имя.

Например, злоумышленники могут взломать центр сертификации, а затем неправильно выдать сертификаты для Интернет-происхождение. Для борьбы с этим риском веб-сервер HTTPS обслуживает список «закрепленных» хэшей открытых ключей, действительных в течение заданного времени; при последующих подключениях в течение этого срока действия клиенты ожидают, что сервер будет использовать один или несколько таких открытых ключей в своей цепочке сертификатов. Если это не так, отображается сообщение об ошибке, которое пользователь не может (легко) обойти.

Техника не прикрепляет сертификаты, а открытый ключ хеши. Это означает, что можно использовать пара ключей получить сертификат от любого центра сертификации, если у вас есть доступ к закрытому ключу. Также пользователь может закрепить открытые ключи корень или же промежуточные сертификаты (создается центрами сертификации), ограничивая сайт сертификатами, выпущенными указанным центром сертификации.

Из-за сложности механизма HPKP и возможности случайного неправильного использования браузеры устарели и удалили поддержку HPKP в пользу Expect-CT.[2][3]

Механизм

Сервер передает политику HPKP пользовательскому агенту через HTTP поле заголовка ответа с именем Пины с открытым ключом (или же Открытый ключ-контакты-только отчет только для отчетов).

Политика HPKP определяет хеши информации об открытом ключе субъекта одного из сертификатов в подлинном X.509 веб-сайта сертификат открытого ключа цепочка (и хотя бы один резервный ключ) в pin-sha256 директивы, а также период времени, в течение которого пользовательский агент должен принудительно закрепить открытый ключ в максимальный возраст директива, необязательно includeSubDomains директива для включения всех поддоменов (домена, отправившего заголовок) в политику закрепления и необязательный report-uri директива с URL-адресом для отправки отчетов о нарушении закрепления. По крайней мере, один из открытых ключей сертификатов в цепочке сертификатов должен совпадать с закрепленным открытым ключом, чтобы пользовательский агент считал цепочку действительной.

На момент публикации RFC 7469 только разрешил SHA-256 алгоритм хеширования. Хэши для политики HPKP могут быть сгенерированы командами оболочки, упомянутыми в Приложение A. RFC 7469 или сторонние инструменты.

Оператор веб-сайта может закрепить корневой сертификат открытый ключ определенного корневого центра сертификации, позволяющий только этому центру сертификации (и всем промежуточным органам, подписанным его ключом) выдавать действительные сертификаты для домена веб-сайта и / или закреплять ключ (ключи) одного или нескольких промежуточных сертификатов выдачи или закрепить открытый ключ конечного объекта.

Должен быть закреплен хотя бы один резервный ключ на случай замены текущего закрепленного ключа. HPKP недействителен без этого резервного ключа (резервный ключ определяется как открытый ключ, отсутствующий в текущей цепочке сертификатов).[4]

HPKP стандартизирован в RFC 7469.[1] Он расширяется на статические прикрепление сертификата, который жестко кодирует хэши открытых ключей известных веб-сайтов или служб в веб-браузерах и приложениях.[5]

Большинство браузеров отключают закрепление для цепочки сертификатов с частным корневые сертификаты дать возможность различным корпоративным проверка содержания сканеры[6] и инструменты веб-отладки (такие как митмпрокси или же Скрипач). Стандарт RFC 7469 рекомендует отключать отчеты о нарушениях закрепления для «определяемых пользователем» корневых сертификатов, где для браузера «приемлемо» отключение проверки PIN.[7]

Составление отчетов

Если пользовательский агент выполняет проверку PIN-кода и не может найти действительный отпечаток SPKI в обслуживаемой цепочке сертификатов, он отправит POST файл в формате JSON. отчет о нарушении к хосту, указанному в report-uri директива, содержащая подробную информацию о нарушении. Этот URI может обслуживаться через HTTP или же HTTPS; однако пользовательский агент не может отправлять отчеты о нарушении HPKP на URI HTTPS в том же домене, что и домен, для которого он сообщает о нарушении. Хосты могут использовать HTTP для report-uri, используйте альтернативный домен или службу отчетов.[8]

Некоторые браузеры также поддерживают Открытый ключ-контакты-только отчет, который только запускает этот отчет, не показывая пользователю ошибку.

Критика и упадок

Сообщалось, что во время максимальной адаптации HPKP использовалось 3500 из 1 миллиона ведущих интернет-сайтов, и к концу 2019 года эта цифра снизилась до 650.[9]

Критика и беспокойство касались вредоносных сценариев или сценариев, связанных с человеческой ошибкой, известных как HPKP Suicide и Ransom PKP.[10] В таких сценариях владелец веб-сайта будет иметь возможность публиковать новое содержимое в своем домене, что серьезно затруднено из-за потери доступа к своим собственным ключам или объявления новых ключей злоумышленником.

Поддержка браузеров и прекращение поддержки

Поддержка браузером закрепления открытого ключа HTTP
БраузерВерсия добавленаВерсия устарелаВерсия удаленаПримечания
Гугл Хром?[11]67[12]72[13]
Опера?[11]?60[11]
Fire Fox35[11]72[14]72[14]Можно включить, установив флаг security.cert_pinning.hpkp.enabled к истинный.[15]
Internet ExplorerНет данных[16]Нет данныхНет данных
Microsoft EdgeНет данных[16]Нет данныхНет данных
СафариНет данныхНет данныхНет данных

Смотрите также

Рекомендации

  1. ^ а б Эванс, Крис; Палмер, Крис; Сливи, Райан (апрель 2015 г.). Расширение закрепления открытого ключа для HTTP. IETF. Дои:10.17487 / RFC7469. ISSN 2070-1721. RFC 7469.
  2. ^ Лейден, Джон. «RIP HPKP: Google отказывается от закрепления открытого ключа». Реестр. Получено 2018-12-18.
  3. ^ Тунг, Лиам. «Google: Chrome отказывается от закрепления открытого ключа, и вот почему». ZDNet. Получено 2018-12-18.
  4. ^ «О закреплении открытого ключа». noncombatant.org. Получено 2015-05-07.
  5. ^ «Связывание сертификатов и открытых ключей - OWASP». www.owasp.org. Получено 2015-05-07.
  6. ^ "Часто задаваемые вопросы по безопасности - проекты Chromium". www.chromium.org. Получено 2015-07-07.
  7. ^ «RFC 7469 - Расширение закрепления открытого ключа для HTTP». tools.ietf.org. Получено 2015-07-07.
  8. ^ «Сообщение о нарушениях HPKP». Скотт Хельм.
  9. ^ «ХПКП больше нет». Скотт Хельм. 2020-01-20. Получено 2020-01-30.
  10. ^ «Использование функций безопасности для совершения плохих дел». Скотт Хельм. 2016-08-15. Получено 2020-01-30.
  11. ^ а б c d «Закрепление открытого ключа HTTP (HPKP)». Сеть разработчиков Mozilla. Получено 2017-05-27.
  12. ^ «Устаревшие и удаленные в Chrome 67». Разработчики Google.
  13. ^ «Удаление закрепления открытого ключа на основе HTTP - Статус платформы Chrome». www.chromestatus.com. Получено 2019-11-18.
  14. ^ а б «Закрепление открытого ключа HTTP больше не поддерживается». Совместимость с сайтом Firefox. 14 ноября 2019.
  15. ^ "mozilla-central: набор изменений 501812: d791bfa31f08ec478b2ef6ca4f89b3a8849d723b". hg.mozilla.org. Получено 2019-11-18.
  16. ^ а б «Статус расширения закрепления открытого ключа для HTTP в Microsoft Edge находится на рассмотрении». Разработка Microsoft Edge.