Důvěryhodná proxy v SSL/TLS spojení

Abstract

Problém inspekce šifrovaného provozu SSL/TLS ("důvěryhodné proxy v SSL/TLS spojení") je známý již dlouho a existuje nemálo nezávislých implementací. Všechny však sdílejí jediné technologické řešení, které je založeno čistě na autentizačním prostředku PKI a vykazuje se mnoha nevýhodami. Především není kompatibilní s některými aspekty či trendy budoucího vývoje SSL/TLS a PKI, téměř ho nelze zdokonalovat a jeho užití bývá právně riskantní. Po analýze technického zázemí a současného způsobu řešení navrhneme jiné, založené nejen na PKI, ale i SSL/TLS. Obě řešení srovnáme a ukážeme všestranně lepší vlastnosti toho nového. Nové řešení dále podrobíme základní implementaci i analýze. Popíšeme nároky na jeho nasazení a dáme podněty pro jeho budoucí rozvoj. Powered by TCPDF (www.tcpdf.org)

The problem of SSL/TLS interception ("trusted proxy in SSL/TLS connection") has been known for years and many implementations exist. However, all of them share a single technical solution which is based solely on the PKI authentication mechanism and suffers from multiple serious disadvantages. Most importantly, it is not compatible with several aspects or future trends of SSL/TLS and PKI, there's almost no space for improvement and its real use may spawn legal issues. After we analyze technical background and the current solution, we will propose another one, based not only on PKI but SSL/TLS too. Both solutions will be compared and general superiority of the new one will be shown. Basic implementation and analysis will follow, along with deployment requirements and ideas for future development. Powered by TCPDF (www.tcpdf.org)