Разработчики Chrome не будут переходить на новую систему определения подлинности сертификатов
На фоне недавно разгоревшегося скандала вокруг центров сертификации DigiNotar, Comodo и пр., в среде специалистов по информационной безопасности все чаще возникает вопрос целесообразности использования модели подтверждения подлинности удаленных web-узлов, с которыми устанавливается соединение. Основная проблема заключается в том, что при подключении к удаленному серверу, определение его подлинности происходит независимо от пользователя. Это, в случае компрометации центра сертификации, делает систему уязвимой к атаке «человек посередине».
При использовании данной системы ответственность за выбор доверенных центров сертификации переходит с уровня поставщиков web-обозревателей к конкретному пользователю. Другим явным преимуществом данной системы можно назвать то, что ее применение не требует серьезных изменений в среде сертификации. Все компоненты уже существуют и функционируют, требуется только изменить подход к вопросу определения доверенных служб проверки подлинности сертификатов.
Однако исследователь безопасности группы разработчиков Google Chrome Адам Лангли (Adam Langley) написал в своем блоге о негативных сторонах технологии Convergence, и о том, почему она не сможет найти применение в web-обозревателе от Google.
Основной проблемой, по мнению исследователя, является человеческий фактор. 99,9% пользователей Chrome никогда не изменят настройки серверов подтверждения подлинности. С подобной статистикой функционал настройки выбора центров сертификации не войдет даже в графический интерфейс настроек браузера.
Сервера, указанные в настройках по умолчанию, будут получать очень большое количество запросов. Если они не будут успевать обрабатывать эти запросы, Google придется открывать собственные центры проверки сертификации, а это дополнительные затраты.
Также применение технологии Convergence не решает многих проблем, связанных с SSL-сертификатами.
Таким образом, вопрос выбора способа определения подлинности сертификата безопасности до сих пор остается открытым. Специалистам ИБ еще предстоит решить задачу безопасного и удобного решения проблемы защиты от перехвата и считывания трафика.
Запись на блоге Адама Лангли можно просмотреть здесь. .
Видео с описанием системы Convergence можно просмотреть здесь.
www.securitylab.ru