Облачный провайдер CloudFlare запустил технологию бесключевого SSL, которая, по заявлению компании, позволит клиентам использовать защищенные соединения без риска компрометации закрытого ключа SSL.

CEO компании Мэтью Принс рассказал в посте в блоге CloudFlare, как он пришел к этой идее. Рост в 2012 году числа и мощности DDoS-атак на банковские системы заставил финансовую отрасль задуматься о переходе на облачные технологии, и основным препятствием этому стало недоверие к SSL. При подключении клиента к серверу по SSL статическая пара SSL-ключей используется для установки соединения. В ходе процедуры хэндшейка клиент и сервер договариваются об использовании одноразовых сессионных ключей, с помощью которых шифруется весь трафик между клиентом и сервером в рамках этой сессии.

Слабое место системы состоит в том, что, если злоумышленникам удастся заполучить приватный ключ сервера, они смогут организовать атаку типа «человек посередине» на канал, перехватив и расшифровав весь интересующий их трафик. Для финансовых учреждений компрометация SSL-ключа является крайне опасным инцидентом, ведущим к подрыву репутации, причем американские банки обязаны сообщать о таких происшествиях в Федеральную резервную систему США (ФРС).

Хакеры могут добраться до закрытого ключа SSL несколькими путями, причем не всегда им для этого нужно проникать в сеть компании или взламывать систему безопасности самого сервера. Так, обнаруженная весной этого года уязвимость Heartbleed в популярном Linux-компоненте OpenSSL позволяет за разумное время «вытащить» из оперативной памяти сервера закрытый ключ, просто организуя с ним SSL-соединение даже без аутентификации. Серверы CloudFlare также были подвержены Heartbleed, и нет никакой гарантии, что и другие реализации SSL не содержат подобных уязвимостей.

Идея бесключевого SSL, предложенная CloudFlare, состоит в том, чтобы не хранить и не использовать закрытый ключ на сервере, терминирующем SSL-соединение. Вместо этого сервер отправляет полученное от клиента зашифрованное открытым ключом сообщение на отдельный сервер. Тот расшифровывает его закрытым ключом и отдает SSL-серверу, который, в свою очередь, отправляет его клиенту. После этого клиент и сервер договариваются о сессионных ключах и начинают обмениваться трафиком. Важной особенностью технологии является то, что ключевой сервер может быть размещен не в самом облаке, а прямо в инфраструктуре клиента облачного провайдера так, что только сам клиент будет иметь доступ к закрытому ключу.

По мнению Мэтью Принса, внедрение технологии бесключевого SSL обеспечивает реальную возможность пользоваться облачными технологиями без риска компрометации самого охраняемого секрета — закрытых ключей SSL.

Категории: Главное, Уязвимости