Tajný strážce, o kterém nikdo nemluví: vaše Certificate Authority

Když se bavíme o webové bezpečnosti, většinou se soustředíme na ty zjevné hrozby: slabá hesla, neaktualizovaný software nebo phishing. Jenže existuje tichý strážce — a potenciální slabina — skrytý přímo před očima: vaše Certificate Authority.

Řetěz důvěry, o kterém jste nikdy nepřemýšleli

Pokaždé, když navštívíte zabezpečený web, váš prohlížeč provádí jakousi magickou verifikaci: kontroluje SSL certifikát stránky proti řetězci důvěryhodných autorit. Co většina vývojářů netuší, je že tento model důvěry sahá daleko za hranice vaší bezprostřední konfigurace serveru.

Certificate authorities mají privilegovaný přístup k procesu validace vaší domény. Když si vyžádáte certifikát, CA ověří, že skutečně kontrolujete danou doménu. Ale co když se samotný proces ověřování stane kompromitovaným?

Co je CertiGhost a proč by vás to mělo zajímat?

Bezpečnostní výzkumníci zkoumají, jak mohou chybné konfigurace v systémech pro správu certifikátů vystavit organizace významným rizikům. Nástroje jako CertiGhost představují novou vlnu bezpečnostního výzkumu zaměřenou na odhalování skrytých privilegií, která Certificate Authorities ze své podstaty mají.

Fundamentální problém je následující: CA mohou vydávat certifikáty pro jakoukoli doménu, kterou si vyberou. Toto není chyba — takto jsou navrženy. Ale to znamená, že pokud útočník získá přístup k vašemu účtu u CA, může generovat certifikáty, kterým bude důvěřovat jakýkoli prohlížeč na světě.

Problém privilegií

Tady je to, co dělá tuto hrozbu obzvláště nebezpečnou:

1. Rozsáhlý administrativní přístup

Účty u CA často mají oprávnění, která jdou daleko za hranice toho, co si většina administrátorů uvědomuje. Schopnost znovuvydávat certifikáty, upravovat validace domén a přistupovat k historickým datům certifikátů vytváří značný útočný povrch.

2. Riziko v dodavatelském řetězci

Mnoho organizací netuší, že používá mezilehlé CA nebo podřízené certifikační autority, které mají své vlastní sady oprávnění. Tyto skryté mezilehlé články mohou přetrvávat dlouho poté, co si myslíte, že jste svoje certifikáty obměnili.

3. Časová okna při validaci

Certificate authorities vedou záznamy o validacích, které lze někdy zneužít během procesů obnovy. Útočník, který rozumí těmto časovým mechanismům, by potenciálně mohl vydávat podvodné certifikáty.

Jak ochránit svoji certifikační infrastrukturu

Takže co můžete dělat? Dobrá zpráva je, že povědomí je první krok, a existují konkrétní opatření:

Implementujte monitoring Certificate Transparency

Nastavte sledování CT logů pro vaše domény. To vytváří veřejný auditní záznam všech certifikátů vydaných pro vaše domény a umožňuje vám rychle detekovat neoprávněná vydání.

Používejte CAA záznamy

Certificate Authority Authorization záznamy vám umožňují specifikovat, které CA mohou vydávat certifikáty pro vaši doménu. To nezabrání všem útokům, ale přidává další vrstvu obrany.

Přijměte postupy pro posílení certifikátů

• Povolte OCSP stapling
• Implementujte HSTS (HTTP Strict Transport Security)
• Používejte Certificate Pinning pro vysoce hodnotné domény

Audytujte svoje vztahy s CA

Pravidelně kontrolujte, které certifikační autority mají přístup k vašim doménám. Odstraňte nepoužívané integrace a ověřte, že autorizované CA vaší organizace jsou skutečně ty, které aktivně používáte.

Zvažte Hardware Security Modules

Pro kritickou infrastrukturu mohou HSM poskytnout další vrstvu ochrany pro vaše privátní klíče a certifikační operace.

Větší obrázek

Bezpečnost vaší certifikační infrastruktury odráží širší princip v kybernetické bezpečnosti: privilegia, která se zdají neškodná, se mohou stát kritickými útočnými vektory v kombinaci s dalšími zranitelnostmi. Certificate authorities představují jednu z nejdůvěryhodnějších — a tudíž nejnebezpečnějších — součástí vašeho bezpečnostního postavení.

Jako vývojáři a technologičtí lídři musíme přestat zacházet se správou certifikátů jako s úkolem typu „nastavit a ignorovat". Infrastruktura, která zabezpečuje naše aplikace, si zaslouží stejnou pozornost, jakou věnujeme našemu kódu a kontrolám přístupu.

Ve NameOcean chápeme, že správa SSL/TLS je základem vaší online přítomnosti. Ať už rozjíždíte nový projekt nebo spravujete podnikovou certifikační infrastrukturu, principy nejnižšího možného oprávnění a průběžného monitoringu se vztahují na vaši certifikační strategii stejně jako na každý jiný aspekt vašeho bezpečnostního postavení.

Zůstaňte ostražití, sledujte svoje certifikáty a pamatujte: někdy největší bezpečnostní rizika jsou ta, kterým jsme důvěřovali nejdéle.