Што такое дэшыфраванне SSL/TLS?
Дэшыфраванне SSL, таксама вядомае як дэшыфраванне SSL/TLS, адносіцца да працэсу перахопу і дэшыфравання зашыфраванага сеткавага трафіку Secure Sockets Layer (SSL) або Transport Layer Security (TLS). SSL/TLS - гэта шырока выкарыстоўваны пратакол шыфравання, які забяспечвае бяспеку перадачы даных па камп'ютэрных сетках, такіх як Інтэрнэт.
Дэшыфраванне SSL звычайна выконваецца прыладамі бяспекі, такімі як міжсеткавыя экраны, сістэмы прадухілення ўварванняў (IPS) або спецыяльныя прылады дэшыфравання SSL. Гэтыя прылады стратэгічна размяшчаюцца ў сетцы для праверкі зашыфраванага трафіку ў мэтах бяспекі. Асноўная мэта - прааналізаваць зашыфраваныя даныя на наяўнасць патэнцыйных пагроз, шкоднасных праграм або несанкцыянаваных дзеянняў.
Для выканання дэшыфравання SSL прылада бяспекі дзейнічае як чалавек пасярэдзіне паміж кліентам (напрыклад, вэб-браўзерам) і серверам. Калі кліент ініцыюе злучэнне SSL/TLS з серверам, прылада бяспекі перахоплівае зашыфраваны трафік і ўстанаўлівае два асобныя злучэнні SSL/TLS — адно з кліентам і другое з серверам.
Затым прылада бяспекі расшыфроўвае трафік ад кліента, правярае расшыфраваны кантэнт і прымяняе палітыку бяспекі для выяўлення любой шкоднаснай або падазронай дзейнасці. Ён таксама можа выконваць такія задачы, як прадухіленне страты даных, фільтраванне кантэнту або выяўленне шкоднасных праграм у расшыфраваных даных. Пасля аналізу трафіку прылада бяспекі паўторна шыфруе яго з дапамогай новага сертыфіката SSL/TLS і накіроўвае на сервер.
Важна адзначыць, што расшыфроўка SSL выклікае праблемы прыватнасці і бяспекі. Паколькі прылада бяспекі мае доступ да расшыфраваных даных, яна патэнцыйна можа праглядаць канфідэнцыяльную інфармацыю, такую як імёны карыстальнікаў, паролі, дадзеныя крэдытнай карты або іншыя канфідэнцыйныя даныя, якія перадаюцца па сетцы. Такім чынам, дэшыфраванне SSL звычайна ажыццяўляецца ў кантраляваных і абароненых асяроддзях, каб забяспечыць канфідэнцыяльнасць і цэласнасць перахопленых даных.
Дэшыфраванне SSL мае тры агульныя рэжымы:
- Пасіўны рэжым
- Уваходны рэжым
- Выходны рэжым
Але ў чым розніца паміж трыма рэжымамі дэшыфравання SSL?
| Рэжым | Пасіўны рэжым | Уваходны рэжым | Выходны рэжым |
| Апісанне | Проста перанакіроўвае трафік SSL/TLS без дэшыфравання і мадыфікацыі. | Расшыфроўвае кліенцкія запыты, аналізуе і прымяняе палітыку бяспекі, затым перасылае запыты на сервер. | Расшыфроўвае адказы сервера, аналізуе і прымяняе палітыку бяспекі, затым перасылае адказы кліенту. |
| Рух транспарту | Двунакіраваны | Ад кліента да сервера | Ад сервера да кліента |
| Роля прылады | Назіральнік | Чалавек-пасярэдзіне | Чалавек-пасярэдзіне |
| Месца расшыфроўкі | Няма расшыфроўкі | Расшыфроўвае на перыметры сеткі (звычайна перад серверам). | Расшыфроўка на перыметры сеткі (звычайна перад кліентам). |
| Бачнасць дарожнага руху | Толькі зашыфраваны трафік | Расшыфраваныя кліенцкія запыты | Расшыфраваныя адказы сервера |
| Мадыфікацыя трафіку | Без мадыфікацыі | Можа змяняць трафік для аналізу або бяспекі. | Можа змяняць трафік для аналізу або бяспекі. |
| SSL сертыфікат | Закрыты ключ або сертыфікат не патрэбны | Патрабуецца прыватны ключ і сертыфікат для сервера, які перахопліваецца | Патрабуецца прыватны ключ і сертыфікат для кліента, які перахопліваецца |
| Кантроль бяспекі | Абмежаваны кантроль, паколькі ён не можа правяраць або змяняць зашыфраваны трафік | Можа правяраць і прымяняць палітыку бяспекі да кліенцкіх запытаў перад дасягненнем сервера | Можа праверыць і прымяніць палітыку бяспекі да адказаў сервера, перш чым дасягнуць кліента |
| Занепакоенасць прыватнасцю | Не мае доступу і не аналізуе зашыфраваныя даныя | Мае доступ да расшыфраваных кліенцкіх запытаў, што выклікае праблемы з прыватнасцю | Мае доступ да расшыфраваных адказаў сервера, што выклікае праблемы з прыватнасцю |
| Меркаванні адпаведнасці | Мінімальны ўплыў на прыватнасць і адпаведнасць | Можа патрабавацца захаванне правілаў канфедэнцыйнасці даных | Можа патрабавацца захаванне правілаў канфедэнцыйнасці даных |
У параўнанні з паслядоўным дэшыфраваннем платформы бяспечнай дастаўкі, традыцыйная тэхналогія паслядоўнага дэшыфравання мае абмежаванні.
Брандмаўэры і шлюзы сеткавай бяспекі, якія расшыфроўваюць трафік SSL/TLS, часта не могуць адправіць расшыфраваны трафік іншым інструментам маніторынгу і бяспекі. Падобным чынам балансіроўка нагрузкі ліквідуе трафік SSL/TLS і ідэальна размяркоўвае нагрузку паміж серверамі, але яна не можа размеркаваць трафік на некалькі інструментаў бяспекі ланцужкоў перад яго паўторным шыфраваннем. Нарэшце, у гэтых рашэнняў адсутнічае кантроль над выбарам трафіку, і яны будуць размяркоўваць незашыфраваны трафік на хуткасці праваднога злучэння, звычайна адпраўляючы ўвесь трафік механізму дэшыфравання, ствараючы праблемы з прадукцыйнасцю.
З дапамогай дэшыфравання SSL Mylinking™ вы можаце вырашыць наступныя праблемы:
1- Паляпшэнне існуючых інструментаў бяспекі шляхам цэнтралізацыі і разгрузкі дэшыфравання і паўторнага шыфравання SSL;
2- Выяўляць схаваныя пагрозы, уцечкі дадзеных і шкоднасныя праграмы;
3- Паважайце захаванне канфідэнцыяльнасці даных метадамі выбарачнага дэшыфравання на аснове палітыкі;
4 -Сэрвісная ланцужок некалькіх прыкладанняў аналитики трафіку, такіх як нарэзка пакетаў, маскіроўка, дэдуплікацыя і адаптыўная фільтрацыя сесій і г.д.
5- Уплываюць на прадукцыйнасць вашай сеткі і ўносяць адпаведныя карэктывы, каб забяспечыць баланс паміж бяспекай і прадукцыйнасцю.
Вось некаторыя з ключавых прымянення дэшыфравання SSL у брокерах сеткавых пакетаў. Расшыфроўваючы трафік SSL/TLS, NPB павышаюць бачнасць і эфектыўнасць інструментаў бяспекі і маніторынгу, забяспечваючы комплексную абарону сеткі і магчымасці маніторынгу прадукцыйнасці. Дэшыфраванне SSL у сеткавых пакетных брокерах (NPB) прадугледжвае доступ і дэшыфраванне зашыфраванага трафіку для праверкі і аналізу. Забеспячэнне канфідэнцыяльнасці і бяспекі расшыфраванага трафіку мае першараднае значэнне. Важна адзначыць, што арганізацыі, якія разгортваюць дэшыфраванне SSL у NPB, павінны мець дакладныя палітыкі і працэдуры для кіравання выкарыстаннем расшыфраванага трафіку, уключаючы кантроль доступу, апрацоўку даных і палітыку захавання. Выкананне дзеючых прававых і нарматыўных патрабаванняў вельмі важна для забеспячэння прыватнасці і бяспекі расшыфраванага трафіку.
Час публікацыі: 4 верасня 2023 г
