5 Masalah Serius dengan HTTPS dan Keselamatan SSL di Web

HTTPS, yang menggunakan SSL, memberikan pengesahan identiti dan keselamatan, sehingga anda tahu anda tersambung ke laman web yang betul dan tidak ada yang dapat mengupayakan anda. Itulah teorinya. Dalam praktiknya, SSL di web adalah jenis kacau-bilau.

Ini tidak bermakna bahawa penyulitan HTTPS dan SSL tidak bernilai, kerana mereka pasti lebih baik daripada menggunakan sambungan HTTP yang tidak disulitkan. Walaupun dalam senario kes terburuk, sambungan HTTPS yang dikompromi hanya akan menjadi tidak selamat sebagai sambungan HTTP.

Jumlah Pihak Berkuasa Sijil

Penyemak imbas anda mempunyai senarai terbina dalam pihak berkuasa sijil yang dipercayai. Pelayar hanya mempercayai sijil yang dikeluarkan oleh pihak berkuasa sijil ini. Jika anda melawat https://example.com, pelayan web di example.com akan menyampaikan sijil SSL kepada anda dan pelayar anda akan menyemak untuk memastikan sijil SSL laman web dikeluarkan untuk example.com oleh pihak berkuasa sijil yang dipercayai. Sekiranya sijil dikeluarkan untuk domain lain atau jika ia tidak dikeluarkan oleh pihak berkuasa sijil yang dipercayai, anda akan melihat amaran serius dalam penyemak imbas anda.

Satu masalah besar adalah terdapat banyak pihak berkuasa sijil, jadi masalah dengan satu pihak berkuasa sijil boleh menjejaskan semua orang. Sebagai contoh, anda mungkin mendapatkan sijil SSL untuk domain anda dari VeriSign, tetapi seseorang boleh berkompromi atau menipu pihak berkuasa sijil lain dan mendapatkan sijil untuk domain anda juga.

Pihak Berkuasa Sijil Tidak Diinsuranskan Sentiasa Terinspirasi

Pengajian mendapati bahawa sesetengah pihak berkuasa sijil gagal melakukan sedikit usaha wajar apabila mengeluarkan sijil. Mereka telah mengeluarkan sijil SSL untuk jenis alamat yang tidak sepatutnya memerlukan perakuan, seperti "localhost," yang selalu mewakili komputer setempat. Pada tahun 2011, EFF mendapati lebih daripada 2000 sijil untuk "localhost" yang dikeluarkan oleh pihak berkuasa sijil yang sah dan dipercayai.

Sekiranya pihak berkuasa sijil yang dipercayai telah mengeluarkan begitu banyak sijil tanpa mengesahkan bahawa alamat-alamat tersebut masih sah di tempat pertama, ia hanya semulajadi untuk mempersoalkan apa kesalahan yang telah mereka buat. Mungkin mereka juga telah mengeluarkan sijil yang tidak dibenarkan untuk laman web orang lain kepada penyerang.

Sijil Pengesahan diperluas, atau sijil EV, cuba menyelesaikan masalah ini. Kami telah membincangkan masalah dengan sijil SSL dan bagaimana sijil EV cuba untuk menyelesaikannya.

Pihak Berkuasa Sijil Boleh Memaksa Mengeluarkan Sijil Palsu

Oleh kerana terdapat banyak pihak berkuasa sijil, mereka di seluruh dunia, dan mana-mana pihak berkuasa sijil boleh mengeluarkan sijil untuk mana-mana laman web, kerajaan boleh memaksa pihak berkuasa sijil untuk mengeluarkan mereka sijil SSL untuk tapak yang mereka mahu menyamar.

Ini mungkin berlaku baru-baru ini di Perancis, di mana Google menemui sijil jahat untuk google.com telah dikeluarkan oleh pihak berkuasa Perancis sijil ANSSI. Pihak berkuasa itu akan membenarkan kerajaan Perancis atau sesiapa sahaja yang menyamar sebagai laman web Google, dengan mudah melakukan serangan orang-dalam-tengah. ANSSI mendakwa sijil itu hanya digunakan pada rangkaian persendirian untuk mengintip pengguna rangkaiannya, bukan oleh kerajaan Perancis. Sekalipun ini benar, ia akan melanggar dasar ANSSI sendiri apabila mengeluarkan sijil.

Kerahsiaan Perfect Forward tidak digunakan di mana-mana sahaja

Banyak laman web tidak menggunakan "kerahsiaan ke hadapan yang sempurna," teknik yang akan menjadikan enkripsi lebih sukar untuk retak. Tanpa kerahsiaan ke hadapan yang sempurna, seorang penyerang dapat menangkap sejumlah besar data yang disulitkan dan menyahsulit semuanya dengan kunci rahsia tunggal. Kami tahu bahawa NSA dan agensi keselamatan negeri lain di seluruh dunia sedang menangkap data ini. Jika mereka mengetahui kunci penyulitan yang digunakan oleh laman web beberapa tahun kemudian, mereka boleh menggunakannya untuk menyahsulit semua data yang disulitkan yang mereka kumpulkan di antara laman web tersebut dan semua orang yang bersambung kepadanya.

Rahsia ke hadapan yang sempurna membantu melindungi terhadap ini dengan menghasilkan kunci yang unik untuk setiap sesi. Dengan kata lain, setiap sesi disulitkan dengan kunci rahsia yang berbeza, jadi mereka tidak boleh dikunci dengan kunci tunggal. Ini menghalang seseorang daripada menyahsulit sejumlah besar data yang disulitkan sekaligus. Oleh kerana laman web yang sangat sedikit menggunakan ciri keselamatan ini, lebih banyak kemungkinan agensi keselamatan negara dapat menyahsulit semua data ini pada masa akan datang.

Lelaki di Serangan Tengah dan Watak Unicode

Malangnya, serangan manusia-dalam-tengah masih boleh dilakukan dengan SSL. Secara teori, ia mestilah selamat untuk menyambung ke rangkaian Wi-Fi awam dan mengakses tapak bank anda. Anda tahu bahawa sambungan itu selamat kerana ia melebihi HTTPS, dan sambungan HTTPS juga membantu anda mengesahkan bahawa anda sebenarnya bersambung ke bank anda.

Dalam praktiknya, ia mungkin berbahaya untuk menyambung ke laman web bank anda di rangkaian Wi-Fi awam. Terdapat penyelesaian di luar yang boleh mempunyai hotspot yang berniat jahat melakukan serangan orang-dalam-tengah ke atas orang yang menyambung kepadanya. Sebagai contoh, hotspot Wi-Fi mungkin bersambung ke bank bagi pihak anda, menghantar data ke belakang dan sebaliknya dan duduk di tengah. Ia boleh menyelinap semula anda ke halaman HTTP dan menyambung ke bank dengan HTTPS bagi pihak anda.

Ia juga boleh menggunakan "alamat HTTPS homograf-sama." Ini adalah alamat yang kelihatan sama dengan bank anda pada skrin, tetapi sebenarnya menggunakan aksara Unicode khas supaya ia berbeza. Jenis serangan terakhir dan menakutkan ini dikenali sebagai serangan homograph nama domain antarabangsa. Semak set aksara aksara Unicode dan anda akan menemui aksara yang pada dasarnya sama dengan 26 aksara yang digunakan dalam abjad Latin. Mungkin o di google.com yang anda sambungkan tidak benar-benar o, tetapi watak-watak lain.

Kami membincangkan ini dengan lebih terperinci apabila kita melihat bahaya menggunakan hotspot Wi-Fi awam.

Sudah tentu, HTTPS berfungsi dengan baik sepanjang masa. Tidak mungkin anda akan menghadapi serangan orang tengah yang bijak apabila anda melawat kedai kopi dan bersambung ke Wi-Fi mereka. Titik sebenar adalah bahawa HTTPS mempunyai beberapa masalah yang serius. Kebanyakan orang mempercayai dan tidak menyedari masalah ini, tetapi ia tidak sempurna.

Kredit Imej: Sarah Joy