SSL漏洞：企業如何生成可信SSL證書
許多用戶和一些企業過分得依賴SSL，認為SSL是網絡安全的萬能藥。然而，在網站上使用SSL時并不能使企業免受所有網絡安全漏洞的影響，即使在最佳的情況下SSL也只是在客戶和服務器之間提供了加密的鏈接。在這篇文章中，我們將講述為何企業應該仔細評估SSL最新漏洞對計算環境可能造成的風險，以及應該采用哪些措施來降低這些風險。
SSL現狀：SSL漏洞和攻擊
SSL是在1994年由Netscape（美國網景公司）研發的，目的是為新興通訊媒介（即因特網）上的電子商務建立起安全的連接。自那時起，人們又對SSL進行了幾次改進，例如傳輸層安全協議（TLS），但是SSL仍存在許多漏洞和攻擊。Defcon 2010上的EFF SSL考察計劃（SSL Observatory Project），以及在2010黑帽安全大會上Qualys公司的SSL實驗室報告，都向人們展示了當前SSL所存在的不足。
作為研究的一部分，EFF項目收集了在互聯網上使用的SSL證書，并記錄了SSL客戶和服務器之間的一些有趣行為。其中一個最大的發現是：有大量使用SSL的服務器和認證中心（CA）存在安全隱患，極易受到透明的中間人（man-in-the-middle）攻擊。而這些服務器和認證中心中的大部分仍然被他們的企業用戶所信賴。
來自Qualys公司SSL實驗室的報告專注于密碼選擇、SSL協議以及目前SSL在互聯網上應用時存在的不足。報告中很重要的一點是：網絡瀏覽器只需安裝10到20個根（root）證書授予機構就可以在大多數網站上使用SSL功能，而不是像IE和Firefox一樣將所有的認證中心設為默認。那些狡猾、有野心的攻擊者會選擇攻擊這十多個CA，而每個CA都可以為DNS（域名服務器）進行認證，所以攻擊能在網絡上造成巨大的危害，這確實是一件值得關注的事。
該報告記錄描述了使用認證度低的證書會造成的攻擊，這些證書是在DebianLinux操作系統中生成的，它們在OpenSSL補丁發布之前生成，該補丁可以移除證書中存在的一項問題。這些證書的危害在于，它們能夠導致中間人攻擊、碰撞攻擊（collision attacks），還有黑客暴力破解認證中心根密鑰以偽造任何類型的證書進而導致的攻擊。SSL renegotiation漏洞也可以被黑客利用，進而控制SSL的鏈接。
知曉何種配置易受攻擊，確定一個企業的特定風險，這些工作都比較困難，尤其是現在SSL的設置越來越復雜。目前許多SSL設置都包括負載均衡、通配型證書等。所以說，企業目前所面臨的威脅不是微不足道的，但確定哪些系統易受攻擊這一點還是可以做到的。
利用上述研究小組的新成果，黑客不僅能夠確定一家企業的SSL服務器，還可以獲知SSL在這些服務器上的使用情況。一旦黑客發現某臺SSL服務器的安全性較低，他就可以利用這一點發起攻擊（如中間人攻擊），從而對SSL上的網絡流量進行查看和操控。這些攻擊還能危及其他的協議，所以為了安全起見，用戶還可以使用與EFF和Qualys研究人員同樣的方法，擴大對這些危害的了解深度，去研究其他一些使用了SSL的非HTTP協議，例如IMAP、SMTP等。這樣能夠更深入認識服務器上SSL的使用情況，這樣才能幫助你了解在加密過程中哪些地方使用了安全性低的證書和協議，以及黑客可能會在系統的哪些地方發起攻擊。
要確定客戶是否容易受到上述攻擊的威脅，可以檢測目前所使用的瀏覽器版本，有兩種方法：被動流量分析或檢查客戶端。這項檢測有助于確定SSL服務器所默認的可信賴認證中心，以及這些認證中心能否被用來攻擊系統，或攻擊由該認證中心所建立的連接。這項檢測對非HTTP協議也有效，但因為非HTTP協議所支持和使用的加密選項或許不同，所以檢測的工程會更復雜些。
企業SSL防御策略
要使企業和用戶抵御來自SSL的威脅，就需要了解企業在哪些地方使用了SSL，以及是如何使用的。這項工作可以使用與EFF和Qualys類似的方法，除此之外還有另外兩種方法：監測網絡流量，或者在客戶端和服務器軟件上執行應用程序詳細清單（inventories）。在這一步完成后，你首先需要認識到，除非自己的企業在PKI（公鑰基礎設施）和SSL使用方面經驗豐富，否則使用行業標準的SSL或認證中心是不明智的，因為它們極易導致SSL的配置問題。在客戶端這一方面，你還需要使用最新的軟件和安全配置（其中默認的可信賴認證中心清單是時刻更新的），才能預防由于SSL漏洞導致的攻擊。如果企業確實有使用復雜SSL配置的必要（例如使用SSL加速器和只支持某種類型認證的智能卡），并且擁有處理這種復雜配置的專業知識，那么這項配置需要小心地管理，因為SSL會導致不安全的配置，這一點在上述的報告中已經證明了。
最后一項控制只涉及授權（白名單）企業使用的瀏覽器中所部署的必要認證中心，可以抵制來自潛在惡意認證中心的攻擊。然而，這可能需要花費很大的精力，不僅要發現這些必要的認證中心是什么，還要禁用其他的認證中心。
用戶可以在一開始就使用Qualys SSL實驗室報告中所提出的17種可信賴的SSL證書授予機構，隨后再根據自己的需要進行添加。同時，可以考慮使用擴展驗證證書，因為擴展驗證證書與當前標準的證書相比提供了更高的安全保證。當前的標準證書不僅要考慮授予證書的認證中心，還要考慮向網絡瀏覽器表明所訪問網站的合法性。但是，EV（擴展驗證）證書不會這么麻煩，它會幫助用戶區分不同類型的證書，以及這些證書的授予單位。升級后安全性更高的瀏覽器會在地址欄上顯示一個綠條，以表明使用了擴展驗證證書。
結論
雖然SSL的安全風險日益嚴重，但是SSL/TLS協議一直在改進，服務器和客戶系統也致力于應對這些漏洞和攻擊。操作系統和應用程序供應商所附帶的SSL管理和支持工具的性能有了大幅度的提高。這些工具被用戶廣泛的應用于維護SSL的安全性以及它的相關系統，這些做法對保護互聯網隱私是極其重要的。企業應當經常關注人們對認證中心的討論，從而獲悉在瀏覽器的證書信任名單中哪些認證中心是默認的，從而避免那些不信任的認證中心被添加在信任名單中。
作者：Nick Lewis
【編輯推薦】
