Ανάλυση Πρωτοκόλλων και Σουιτών Κρυπτογράφησης TLS
Η κατανόηση των παραμέτρων ασφαλείας κατά τη δημιουργία μιας σύνδεσης Transport Layer Security (TLS) είναι κρίσιμη για τη διασφάλιση των επικοινωνιών. Το εργαλείο TLS Έλεγχος Σουίτας κρυπτογράφησης επιτρέπει την άμεση ανάλυση δεδομένων κειμένου από σαρώσεις ασφαλείας ή καταγραφές χειραψίας (handshake). Χωρίς να εκτελεί ζωντανή σύνδεση ή να αλληλεπιδρά με κάποιον απομακρυσμένο διακομιστή, το εργαλείο αναλύει τις πληροφορίες που παρέχετε για να αναγνωρίσει το πρωτόκολλο διαπραγμάτευσης, τις σουίτες κρυπτογράφησης και τυχόν αλγόριθμους παλαιού τύπου που ενδέχεται να θέτουν σε κίνδυνο την ασφάλεια.
Η επεξεργασία των δεδομένων πραγματοποιείται τοπικά: τα επικολλημένα στοιχεία TLS παραμένουν στο πρόγραμμα περιήγησής σας και το BroBroGo δεν τα ανεβάζει ούτε τα αποθηκεύει.
Μορφές Εισαγωγής Δεδομένων και Περιορισμοί
Το εργαλείο έχει σχεδιαστεί για να αναγνωρίζει και να ερμηνεύει κείμενο που προέρχεται από κοινά εργαλεία ελέγχου και ανάλυσης δικτύου. Μπορείτε να εισαγάγετε:
- Εξαγωγές κειμένου από κοινούς σαρωτές TLS.
- Αποτελέσματα από την εντολή
openssl s_client. - Περιλήψεις ανάλυσης πακέτων.
- Σύντομες σημειώσεις πεδίων ClientHello ή ServerHello.
Το εργαλείο αναγνωρίζει αυτόματα επίσημα ονόματα IANA, εναλλακτικά ψευδώνυμα OpenSSL, καθώς και αρκετά κοινά δεκαεξαδικά αναγνωριστικά σουίτας (hexadecimal suite IDs).
Τεχνικοί Περιορισμοί Εισαγωγής
- Μέγεθος Κειμένου: Το κείμενο της σύνοψης πρέπει να είναι αυστηρά κάτω από 200.000 χαρακτήρες. Εάν το όριο αυτό ξεπεραστεί, εμφανίζεται το σφάλμα: Αυτή η περίληψη είναι ασυνήθιστα μεγάλη. Διατηρήστε το κάτω από 200.000 χαρακτήρες..
- Μη Υποστηριζόμενα Αρχεία: Δεν υποστηρίζεται η εισαγωγή ακατέργαστων δυαδικών δεδομένων (raw binary) ή αρχείων καταγραφής πακέτων (pcap). Το εργαλείο δεν αποκωδικοποιεί ακατέργαστα byte πακέτων.
- Κενή Εισαγωγή: Εάν προσπαθήσετε να εκτελέσετε ανάλυση χωρίς να έχετε προσθέσει δεδομένα, θα εμφανιστεί το μήνυμα σφάλματος: Επικολλήστε πρώτα μια σύνοψη σάρωσης ή χειραψίας TLS..
- Μη Αναγνωρίσιμα Δεδομένα: Εάν το κείμενο δεν περιέχει έγκυρες πληροφορίες, εμφανίζεται το σφάλμα: Δεν αναγνωρίστηκε καμία έκδοση ή σουίτα κρυπτογράφησης TLS. Επικολλήστε αναγνώσιμα πεδία σαρωτή ή χειραψίας..
Κατηγοριοποίηση Ρόλων και Αξιολόγηση Ασφάλειας
Κατά την ανάλυση των στοιχείων, το εργαλείο εντοπίζει και κατηγοριοποιεί τις παραμέτρους με βάση τον ρόλο τους στη χειραψία και το επίπεδο ασφάλειας που προσφέρουν.
Ρόλοι Παραμέτρων
- Διαπραγματεύτηκε (
Διαπραγματεύτηκε): Το πρωτόκολλο ή η σουίτα κρυπτογράφησης που επιλέχθηκε τελικά για τη θωράκιση της σύνδεσης. - Προσφέρεται (
Προσφέρεται): Οι επιλογές που παρουσίασε ο πελάτης (client) ως υποστηριζόμενες κατά την έναρξη της χειραψίας. - Παρατηρήθηκε (
Παρατηρήθηκε): Παράμετροι που εντοπίστηκαν κατά τη διάρκεια της καταγραφής της κίνησης.
Επίπεδα Αξιολόγησης Σουιτών
- Σύγχρονος (
Σύγχρονος): Σουίτες που πληρούν τα τρέχοντα πρότυπα ασφαλείας και προσφέρουν ισχυρή προστασία. - Κριτική (
Κριτική): Σουίτες που απαιτούν προσοχή ή ειδική παραμετροποίηση ανάλογα με το πρωτόκολλο. - Καταργήθηκε (
Καταργήθηκε): Αλγόριθμοι και σουίτες που θεωρούνται ξεπερασμένοι και δεν πρέπει να χρησιμοποιούνται. - Αγνωστος (
Αγνωστος): Στοιχεία που δεν αντιστοιχίζονται στον ενσωματωμένο χάρτη.
Ανάλυση Ευρημάτων και Αλγορίθμων Παλαιού Τύπου
Το εργαλείο αξιολογεί τα επιμέρους συστατικά των σουιτών κρυπτογράφησης και εμφανίζει συγκεκριμένες προειδοποιήσεις και ευρήματα ανάλογα με την ασφάλεια των αλγορίθμων:
| Αλγόριθμος / Σουίτα | Εύρημα και Τεχνική Αξιολόγηση |
|---|---|
| RC4 | Το RC4 έχει καταργηθεί και δεν πρέπει να αποτελέσει αντικείμενο διαπραγμάτευσης. |
| DES | Το DES δεν είναι ασφαλές για γενική χρήση TLS. |
| 3DES | Το 3DES έχει μικρό μέγεθος μπλοκ και έχει καταργηθεί για το TLS. |
| NULL | Η κρυπτογράφηση NULL δεν παρέχει εμπιστευτικότητα. |
| EXPORT | Οι σουίτες EXPORT χρησιμοποιούν σκόπιμα αδύναμη κρυπτογραφία και έχουν καταργηθεί. |
| Anonymous | Οι ανώνυμες σουίτες δεν πιστοποιούν την ταυτότητα του ομοτίμου και είναι ευάλωτες σε υποκλοπές. |
| MD5 | Το MD5 δεν είναι ασφαλές για γενική χρήση TLS. |
| SHA-1 | Αυτή η σουίτα χρησιμοποιεί SHA-1, το οποίο έχει καταργηθεί για γενική χρήση TLS. |
| CBC | Οι σουίτες CBC είναι παλαιού τύπου. Προτιμήστε μια σουίτα AEAD όπως AES-GCM ή ChaCha20-Poly1305. |
| Static RSA | Η στατική ανταλλαγή κλειδιών RSA δεν παρέχει εμπρόθεσμη μυστικότητα. |
| CCM-8 | Το CCM-8 χρησιμοποιεί μια πιο σύντομη ετικέτα ελέγχου ταυτότητας και χρειάζεται έλεγχος για συγκεκριμένο πρωτόκολλο. |
Εάν εντοπιστεί μια σουίτα που δεν περιλαμβάνεται στη βάση δεδομένων του εργαλείου, εμφανίζεται η ένδειξη: Αυτή η σουίτα δεν περιλαμβάνεται στον ενσωματωμένο χάρτη της κοινής σουίτας. Ελέγξτε την τρέχουσα τεκμηρίωση μητρώου ή σαρωτή IANA..
Ιδιαιτερότητες του TLS 1.3
Στο πρωτόκολλο TLS 1.3, η αρχιτεκτονική της χειραψίας έχει απλοποιηθεί σημαντικά σε σχέση με τις παλαιότερες εκδόσεις. Στις εκδόσεις TLS 1.2 και προγενέστερες, το όνομα της σουίτας κρυπτογράφησης προσδιορίζει τόσο τον αλγόριθμο ανταλλαγής κλειδιών (π.χ. ECDHE) όσο και τον αλγόριθμο ελέγχου ταυτότητας (π.χ. RSA) μαζί με την κρυπτογράφηση όγκου.
Αντίθετα, το TLS 1.3 διαπραγματεύεται την ανταλλαγή κλειδιών και τον έλεγχο ταυτότητας ξεχωριστά από τη σουίτα κρυπτογράφησης. Αυτό σημαίνει ότι οι σουίτες κρυπτογράφησης του TLS 1.3 ορίζουν μόνο την κρυπτογράφηση συμμετρικού κλειδιού για τα δεδομένα (π.χ. AES-GCM ή ChaCha20-Poly1305) και τη συνάρτηση κατακερματισμού της χειραψίας. Οι παράμετροι της ανταλλαγής κλειδιών δεν μπορούν να εξαχθούν αποκλειστικά από το όνομα της σουίτας.
Συχνές Ερωτήσεις (FAQ)
Ποιες μορφές εξόδου TLS μπορώ να επικολλήσω;
Επικολλήστε κείμενο από κοινούς σαρωτές TLS, openssl s_client, περιλήψεις ανάλυσης πακέτων ή μια σύντομη σημείωση ClientHello ή ServerHello. Το πούλι αναγνωρίζει κοινά ονόματα IANA, ψευδώνυμα OpenSSL και πολλά κοινά δεκαεξαδικά αναγνωριστικά σουίτας. δεν αποκωδικοποιεί ακατέργαστα byte πακέτων.
Γιατί μια σουίτα κρυπτογράφησης TLS 1.3 δεν εμφανίζει RSA ή ECDHE;
Τα ονόματα σειρών κρυπτογράφησης TLS 1.3 περιγράφουν την κρυπτογράφηση εγγραφών και τον κατακερματισμό χειραψίας. Η ανταλλαγή κλειδιών και ο έλεγχος ταυτότητας διαπραγματεύονται χωριστά, επομένως δεν μπορούν να συναχθούν μόνο από το όνομα μιας σουίτας.
Αυτό το αποτέλεσμα αποδεικνύει ότι ένας διακομιστής είναι ασφαλής;
Όχι. Εξηγεί μόνο το κείμενο που επικολλάτε. Δεν συνδέεται με τον κεντρικό υπολογιστή, δεν επαληθεύει το πιστοποιητικό, δεν μετράει μεγέθη κλειδιών, δεν δοκιμάζει τη συμπεριφορά υποβάθμισης ή δεν εμφανίζει κάθε σουίτα που δέχεται ο διακομιστής.
Τι συμβαίνει εάν δεν εντοπιστεί έκδοση πρωτοκόλλου ή σουίτα κρυπτογράφησης;
Εάν το εργαλείο δεν εντοπίσει κάποια έκδοση πρωτοκόλλου στο κείμενο, θα εμφανίσει το μήνυμα: Δεν βρέθηκε έκδοση πρωτοκόλλου στο παρεχόμενο κείμενο.. Αντίστοιχα, εάν δεν εντοπιστεί σουίτα κρυπτογράφησης, εμφανίζεται η ένδειξη: Δεν βρέθηκε σουίτα κρυπτογράφησης στο παρεχόμενο κείμενο..