7 lipca 2008, 13:23

heise SSL Guardian

Ochrona przed niebezpiecznymi certyfikatami SSL

Połączenia HTTPS są często wykorzystywane do przesyłania ważnych danych, takich jak hasła, kody PIN czy numery kart kredytowych. Przeglądarka, otrzymując poprawny certyfikat, na którym swój cyfrowy podpis złożyła zaufana strona, zyskuje pewność, że nadawca jest tym, za kogo się podaje. W certyfikacie zawarty jest również klucz publiczny serwera, więc browser może szyfrować dane, które zdoła odczytać tylko druga, uprawniona strona komunikacji. Błąd w pakiecie OpenSSL dostarczanym przez wiele miesięcy w dystrybucji Debian GNU/Linux sprawił, że tworzone przez usługodawców certyfikaty zawierały słabe, przewidywalne klucze. Potencjalny napastnik może je złamać i w efekcie podszywać się pod witrynę posługującą się takim wadliwym certyfikatem. Narzędzie heise SSL Guardian sprawdza używane certyfikaty SSL i ostrzega użytkownika w wypadku wykrycia, że któryś z nich zawiera łatwy do złamania klucz.

W wypadku podłączenia się do serwera posługującego się wadliwym certyfikatem użytkownik powinien przerwać pracę ze zdalnym systemem. W nielicznych przypadkach i na własne ryzyko możliwe jest jej kontynuowanie. Klikając przycisk "No", wybieramy pierwszą opcję; dialog z usługodawcą zostaje natychmiast przerwany, a dane potrzebne do ustanowienia bezpiecznego połączenia nie będą transmitowane. Jeśli pozwolimy na połączenie, klikając "Yes", to należy mieć świadomość, że wszystkie wysyłane i odbierane dane mogą być z łatwością przechwycone przez osobę trzecią. Jeśli zdecydujemy się zgłosić wadliwy certyfikat (Report certificate online), zostanie on wysłany do systemów heise na potrzeby analizy. Do naszych serwerów nie będzie wysyłany URL ani inne dane; narzędzie heise SSL Guardian nie ma do nich dostępu.

Obsługiwane platformy

Systemy operacyjne: Windows 2000, XP, Vista

Wszystkie aplikacje systemu Windows używające Windows CryptoAPI będą chronione przez oprogramowanie SSL Guardian. Mowa tutaj przede wszystkim o programach Internet Explorer i Outlook Express, a także kliencie Windows Mail. Należy jednak zauważyć, że ochronie nie podlegają przeglądarki Firefox czy Opera, ponieważ korzystają one z własnych funkcji kryptograficznych. Aby chronić Firefoksa można zainstalować rozszerzenie o nazwie Firefox SSL Blacklist.

Pobieranie

Istnieją dwie wersje programu, które różnią się rozmiarem list błędnych kluczy. Pierwsza przeznaczona jest dla użytkowników, którzy mają odpowiednio duże pasmo lub mogą poświęcić więcej czasu na pobieranie. Druga wersja jest trzy razy krótsza, lecz nadal wykrywa więcej niż 98% słabych kluczy.

Nazwa	Rozmiar	Suma MD5
heise SSL Guardian	13 MB	[VERBATIM0]
small heise SSL Guardian	4,5 MB	[VERBATIM1]
kod źródłowy	45 KB	[VERBATIM2]

Instalacja

Aby zainstalować oprogramowanie, wystarczy pobrać odpowiednią paczkę archiwum, używając jednego z powyższych odnośników, rozpakować ją i uruchomić instalator setup.exe. Najlepiej jest użyć zalecanych, standardowych ustawień konfiguracyjnych. Kolejne okno pozwala również odinstalować aplikację. Aby sprawdzić, czy ochrona jest aktywna, można odwiedzić stronę posługującą się niebezpiecznym certyfikatem. Jeśli po jej otwarciu w Internet Explorerze nie pojawi się żadne ostrzeżenie, to coś poszło nie tak.