क्या स्व-हस्ताक्षरित प्रमाणपत्रों का उपयोग करते समय मैन-इन-द-बीच हमले को रोकना संभव है?

Question

मैं सुनिश्चित नहीं हूं समान प्रश्न (मैं किसी भी नहीं मिल रहा सकता है) से पहले कहा गया है, लेकिन यह आदमी-इन-मध्य हमले से क्लाइंट/सर्वर की रक्षा के लिए संभव है?

मैं सर्वर के साथ संवाद करने के लिए एक क्लाइंट एप्लिकेशन लिख रहा हूं। संचार एसएसएलवी 3 आधारित होगा। मैं सर्वर के स्वयं-हस्ताक्षरित प्रमाणपत्रों के साथ ठीक हूं, लेकिन उसी सर्वर नाम में एक ही स्व-हस्ताक्षरित प्रमाणपत्र उत्पन्न करने वाले किसी और के बारे में चिंतित हूं और इसे होने का नाटक करता हूं। मेरा ग्राहक एप्लिकेशन OpenSSL लाइब्रेरी का उपयोग करता है। [क्लाइंट और सर्वर बहाव आधारित हैं, अगर यह कोई फर्क पड़ता है]। क्या मैं स्व-हस्ताक्षरित प्रमाणपत्रों के लिए समर्थन बनाए रखने के साथ-साथ ऐसे हमले से बच सकता हूं?

Answer 1

हां।

संक्षेप में, एक स्वयं हस्ताक्षरित प्रमाण पत्र केवल सीए प्रमाणपत्र से अधिक असुरक्षित होता है जब ग्राहक अग्रिम में प्रमाणपत्र नहीं जानता है और इसलिए यह सत्यापित करने का कोई तरीका नहीं है कि सर्वर यह कहता है कि यह है।

आप ग्राहक को स्वयं हस्ताक्षरित प्रमाणपत्र जोड़ सकते हैं और किसी अन्य प्रमाण पत्र को स्वीकार नहीं करते हैं, तो आप वास्तव में के रूप में सुरक्षित कर रहे हैं (या, एक बहस कर सकते, इससे भी ज्यादा) एक प्रमाणपत्र प्राधिकार हस्ताक्षरित प्रमाणपत्र की तुलना में।

एसएसएल को प्रमाण पत्र प्राधिकरण के साथ या बिना सुरक्षित रखने के महत्वपूर्ण भाग हैं;

• सर्वर निजी कुंजी (और सीए के मामले में, इसकी सभी जड़ों की निजी कुंजी) गुप्त रखी जाती है।
• ग्राहक सर्वर प्रमाणपत्र (या इसके CA रूट) को जानता है।

Answer 2

यदि आप अपनी निजी कुंजियों को अच्छी तरह से सुरक्षित रख सकते हैं, तो एक मध्यस्थ आपको वास्तव में प्रमाण पत्र देखता है, यह मानते हुए कि आप मध्यस्थ नहीं होंगे। स्व-हस्ताक्षर के साथ समस्या यह है कि यदि आप चाहते हैं कि उपयोगकर्ता अपने ब्राउज़र में अपवाद जोड़ना चाहें, या चेतावनी को अनदेखा कर दें, तो आप मैन-इन-द-बीच हमले के संपर्क में आ गए हैं, क्योंकि कोई भी अपना स्वयं का प्रमाणपत्र बना सकता है।

बेशक, "आपकी निजी कुंजी को अच्छी तरह से सुरक्षित करना" बिल्कुल छोटा नहीं है। जब आप "Verisign" प्रमाण पत्र के लिए भुगतान करते हैं, तो आप प्रमाण पत्र बनाने के लिए अपने सॉफ़्टवेयर के लिए भुगतान नहीं कर रहे हैं - आप उन सुरक्षा बलों के लिए भुगतान कर रहे हैं जिनके पास वे इमारत की रक्षा कर रहे हैं जिसमें निजी कुंजी संग्रहीत की जाती हैं।

Answer 3

आप सर्वर के प्रमाणपत्र को हार्ड-कोड कर सकते हैं और जो भी प्राप्त करते हैं उसके विरुद्ध तुलना कर सकते हैं।

या बेहतर अभी तक, CA द्वारा हस्ताक्षरित एक CA प्रमाण पत्र और सर्वर प्रमाणपत्र बनाएं। सीए ग्राहक पर भरोसा है (फिर से इसे अपने आवेदन में हार्डकोडिंग करके) और सीए प्रमाण पत्र का उपयोग कर प्राप्त सर्वर प्रमाणपत्र प्रमाणित करें।