SSL / TLS协议保护安全电子商务的,最近有没有殴打,新闻从违反证书颁发机构发现跳动的利用协议本身。
与所有关于SSL / TLS的噪音很容易认为是不可挽回的损害,也许是时候去寻找别的东西。
但尽管利用——浏览器利用对SSL / TLS(兽)和证书颁发机构的失败,如舒适地和DigiNotar应该对用户进行身份验证,该协议有很多生活在如果正确升级成为必要,塔希尔说困难问题,首席技术官Axway和SSL的创造者之一。
问题不在于SSL / TLS本身,而是信任框架建立在它和问题原因时修复漏洞补丁的协议。足球竞猜app软件高级编辑Tim格林最近谈到这些问题与困难。这是一个编辑,谈话的记录。
缺陷被野兽自2004年以来已经存在。那是什么?
问题是复杂的。它开始,是的,有一个弱点在安全协议和我们应该认识到,我们必须去更新它,解决它。之前整个兽的事情——实际攻击,可以这么说。
世界上所有不同的浏览器使用TLS是已知弱点。重要的是要理解攻击真的是什么。
野兽的部署的方式是你必须有一个在浏览器上恶意软件,可以注入某些事情强迫浏览器生产饼干这些cookie传递到通道。然后,他们必须有一个中间人,让他们得到加密的数据。所以你有什么被称为选择明文攻击,你选择明文和密文和你尝试匹配这些发现的关键是什么。这是非常,非常聪明。这是没有疑问的。
现在,从实用的角度来看,真正的问题是你必须有恶意软件的机器上。老实说,如果我可以把恶意软件在您的机器上,我不会打扰你的SSL之前,因为我可以看到所有的数据加密。
变得非常公开,因为有20亿浏览器和他们所有人使用SSL一方面或另一个,所有的电子商务使用它,我们应该小心。但很明显如果你有一个协议,没有任何安全问题,并不存在。
所以一方面你有一群聪明的人做了一个非常聪明的事情。它很聪明,它使用一个已知的漏洞和显示与这些事情。你能做什么另一方面,真正的问题是窗户是一个非常糟糕的操作系统——你会说些什么。很适合恶意软件,可以重定向的东西。这是一个很多东西的组合。
实际的一步是什么?去TLS 1.1吗?
不幸的是没有。这是问题所在。浏览器仍然不支持TLS 1.1。这是真正的问题。TLS 1.1超过两岁。它不像上周出来。
企业用户可以做什么问题?
你必须小心恶意软件。我能说什么呢?在任何情况下你应该小心。确保你运行你的机器在一个好的状态,你运行a / v和这种东西,反恶意软件在任何情况下发现——你做的事情。如果你有恶意软件在您的机器上某人的阅读数据不管SSL。
有缺点TLS 1.1吗?
不是今天是已知的,但是安全问题是作为人类我们都希望事情永远是安全的。我们想要感到安全,移动到下一个东西,不幸的是,这事是错误的,因为安全总是相对于一些或另一个。十年后电脑会快很多,所以今天的事情可能不安全,安全,我们会再次做同样的事情。它不是因为它是好或坏,没有与一个特定的设置或协议或操作系统。这只是事情的真相,因为我们必须总是寻找这些东西。我们要监视的弱点是什么。我们有更新的东西。这基本上继续发生直到永永远远。老实说没有一次性解决这个问题。它与SSL特别是无关。 SSL becomes the poster child for this because SSL is being used in all of e-commerce. Replacing SSL by itself as a protocol doesn't solve any problem.
如何对这些证书颁发机构违反对舒适地和消灭DigiNotar吗?
这是一个结合PKI信任模型和所有这些东西。世界上如果有一个业务,我可以去和得到一个数字证书,我的名字叫蒂姆·格林说,商业是坏了,因为我不是蒂姆·格林,但我有一个证书,说这是我的名字。这是一个破碎的过程,我们允许业务,是破碎的进入一个可信的循环。现实是总是会有骗子,有人总是想赚钱的方式错了。它将继续发生,直到时间的尽头。
比证书颁发机构有没有更好的方法?
的浏览器设计内置密钥是不幸的根源。这是错的,但很难改变这种情况。我们应该分开谁是值得信赖的供应商。如果我们不能信任的根源和供应商分开之后我们能做的就是建立一个最佳的信誉系统,每个人都咨询。当浏览器从一个未知的CA证书它说这到底是什么?告诉我这个东西的声誉好,如果它是好的,它很好。如果这个CA是做坏事的声誉会下降和浏览器应该拒绝连接。我们希望消费者能方便访问更多的比我们要保护他们。所以我们让消费者信任随机的东西。后有人相信他们很难untrust它在当前设置。 So the browser guys needed to undo things. This is unfortunate but it only has to do with the way the PKI was implemented inside of the browser system rather than any particular protocol. You could have removed SSL and put in IPSec and the exact same problem would actually come out because they all use PKI.
可以做些什么?
如果有一种方法,我们可以单独从供应商的浏览器然后我们相信这将是最好的办法。和信任的根源应该是互联网的生态系统内置的声誉。所有中科院已经建立起来的声誉将因为互联网运行,然后你有一个更好的信任模型。而不是它构建到浏览器本身,这就是我的意思。我不是说我知道如何实现这一点,但这是一个更好的模型。
如果这真的发生了,人们已经注意到一个特定的CA签发坏的声誉将立即踢出来。没有人将不得不发行的补丁,我们不需要等待有人送东西来我们更新。它就是在生态系统中完成。
如何工作?
我们必须建立一个机制来自动更新的东西。我们没有那样做。正确的设计方法,如果我们要更新一个更新协议的东西下一版本出现时自动更新自身它知道在哪里可以找到下一个版本,而不必等待Windows更新等等。我认为技术是已知的世界。我希望人们寻找这些东西,因为老实说,每个协议都有角色自更新的东西。没有什么会永远安全。这是一个坏主意的实际拍摄的东西永远是安全的,因为我们不会找到任何。
你看到一种自动更新和SSL / TLS可以吗?
我认为这不仅仅是TLS,我认为这是自更新的。这是一个好主意,对吗?
你在工作吗?
我在这工作吗?不。实际上是存在的但我不工作。
你知道什么是工作?
生活在硅谷的美丽是你每天与人交谈,人们告诉你有趣的想法。我不确定我可以说。该类型的人靠近我一些想法。