TLS Kikagua Cipher Suite

Uchambuzi wa Itifaki za TLS na Cipher Suites

Kikagua hiki kinachambua maandishi unayoweka, kama vile matokeo ya uchanganuzi wa TLS au muhtasari wa kupeana mkono (handshake summary), ili kutambua itifaki iliyojadiliwa, cipher suite, na algoriti zozote za urithi zilizopo. Chombo hiki kinakusaidia kuelewa maelezo ya muunganisho wa TLS kulingana na maandishi yaliyotolewa bila kufanya uchanganuzi wa moja kwa moja au kuunganisha kwenye seva pangishi.

Zana hii inatambua majina ya kawaida ya IANA, lakabu za OpenSSL, na vitambulisho kadhaa vya kawaida vya heksadesimali vya cipher suites. Inasaidia watengenezaji wa programu (developers), wahandisi wa uaminifu wa tovuti (SREs), na wakaguzi wa usalama wanaohitaji kutafsiri haraka matokeo ya zana za uchanganuzi.

Pembejeo Zinazokubalika na Vikwazo Vyake

Ili kutumia kikagua hiki, unahitaji kuingiza maandishi yanayotokana na zana za kawaida za uchanganuzi wa TLS. Pembejeo lazima ikidhi vigezo vifuatavyo:

• Aina ya Maandishi: Maandishi kutoka kwa vichanganuzi vya kawaida vya TLS, openssl s_client, muhtasari wa uchanganuzi wa pakiti, au noti fupi ya ClientHello au ServerHello.
• Umbizo: Pato la skana inayoweza kusomeka au sehemu za ClientHello/ServerHello. Baiti za pakiti mbichi au faili za kunasa pakiti (pcap) hazitumiwi na chombo hiki.
• Kikomo cha herufi: Maandishi yaliyowekwa lazima yawe chini ya herufi 200,000.

Kama pembejeo ikiwa tupu, ujumbe wa hitilafu "Bandika uchanganuzi wa TLS au muhtasari wa kupeana mkono kwanza." utaonyeshwa. Ikiwa maandishi yatazidi kikomo cha herufi, mfumo utatoa hitilafu ya "Muhtasari huo ni mkubwa isivyo kawaida. Iweke chini ya herufi 200,000.". Ikiwa hakuna toleo la TLS au cipher suite inayotambulika katika maandishi yaliyowekwa, utaona ujumbe "Hakuna toleo la TLS au suti ya misimbo iliyotambuliwa. Bandika sehemu za skana zinazoweza kusomeka au kupeana mikono.".

Tafsiri ya Matokeo na Majukumu ya Vigezo

Zana hii inachambua vigezo vilivyowekwa na kuvipanga kulingana na majukumu yake katika muunganisho wa TLS. Majukumu haya yanajumuisha:

• Imejadiliwa (Negotiated): Toleo la itifaki au cipher suite ambayo ilichaguliwa na kukubaliwa na pande zote mbili kwa ajili ya muunganisho.
• Imetolewa (Offered): Orodha ya cipher suites au matoleo ya itifaki yaliyowasilishwa na mteja (client) kwenye ClientHello kuonyesha uwezo wake.
• Imezingatiwa (Observed): Vigezo vilivyoonekana wakati wa uchanganuzi wa trafiki au kwenye kumbukumbu za muunganisho.

Ikiwa hakuna toleo la itifaki lililotambuliwa katika maandishi yaliyowekwa, mfumo utaonyesha ujumbe "Hakuna toleo la itifaki lililopatikana katika maandishi yaliyotolewa.". Vivyo hivyo, ikiwa hakuna cipher suite inayotambuliwa, ujumbe "Hakuna msimbo uliopatikana katika maandishi yaliyotolewa." utatokea.

Tathmini ya Usalama wa Cipher Suites

Kila cipher suite inayotambuliwa inapewa daraja la usalama kulingana na viwango vya kisasa vya usimbaji fiche. Madaraja hayo ni:

1. Kisasa (Modern): Vyumba vya usimbaji fiche vinavyofuata viwango vya sasa vya usalama na vinavyopendekezwa kwa matumizi.
2. Kagua (Review): Vyumba vinavyohitaji uchambuzi zaidi au vina sifa maalum zinazopaswa kuangaliwa kulingana na mazingira ya matumizi.
3. Imeacha kutumika (Deprecated): Vyumba vyenye algoriti dhaifu au za zamani ambazo hazipaswi kutumiwa tena.
4. Haijulikani (Unknown): Vyumba ambavyo havipo kwenye ramani ya ndani ya zana hii. Katika hali hii, ujumbe "Seti hii haiko kwenye ramani iliyojengewa ndani ya vyumba vya kawaida. Angalia sajili ya sasa ya IANA au hati za skana." utaonyeshwa.

Algoriti za Urithi na Matokeo ya Uchambuzi

Zana hii inatambua algoriti dhaifu na za zamani zilizopo kwenye cipher suites na kutoa maelezo maalum ya usalama:

• RC4: Inatoa matokeo "RC4 imeacha kutumika na lazima isijadiliwe.".
• DES: Inatoa matokeo "DES si salama kwa matumizi ya jumla ya TLS.".
• 3DES: Inatoa matokeo "3DES ina ukubwa mdogo wa kizuizi na imeacha kutumika kwa TLS.".
• NULL: Inatoa matokeo "Usimbaji fiche wa NULL hautoi usiri.".
• EXPORT: Inatoa matokeo "Vyumba vya EXPORT vinatumia maandishi hafifu kimakusudi na vimeacha kutumika.".
• Anonymous: Inatoa matokeo "Vyumba visivyojulikana havidhibitishi rika na vinaweza kutekwa.".
• MD5: Inatoa matokeo "MD5 si salama kwa matumizi ya jumla ya TLS.".
• SHA-1: Inatoa matokeo "Seti hii hutumia SHA-1, ambayo imeacha kutumika kwa matumizi ya jumla ya TLS.".
• CBC: Inatoa matokeo "Vyumba vya CBC ni urithi. Pendelea mpangilio wa AEAD kama vile AES-GCM au ChaCha20-Poly1305.".
• Static RSA: Inatoa matokeo "Ubadilishanaji wa vitufe tuli wa RSA hautoi usiri wa mbele.".
• CCM-8: Inatoa matokeo "CCM-8 hutumia lebo fupi ya uthibitishaji na inahitaji ukaguzi mahususi wa itifaki.".

Tofauti Kati ya TLS 1.3 na Matoleo ya Urithi

Katika matoleo ya zamani ya TLS (kama vile TLS 1.2 na yaliyotangulia), cipher suite ilieleza kwa pamoja algoriti ya ubadilishanaji wa funguo (key exchange), uthibitishaji (authentication), usimbaji fiche wa ujumbe (bulk encryption), na algoriti ya hashing (MAC). Kwa mfano, katika jina la msimbo kama TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, unaweza kuona wazi kuwa ECDHE inatumika kwa ubadilishanaji wa funguo na RSA kwa uthibitishaji.

Katika TLS 1.3, muundo huu ulibadilishwa kabisa. TLS 1.3 inajadili ubadilishanaji wa funguo na uthibitishaji kando na cipher suite yenyewe. Kwa sababu hiyo, cipher suites za TLS 1.3 (kama vile TLS_AES_256_GCM_SHA384) zinaelezea tu usimbaji fiche wa ulinganifu (symmetric encryption) na heshi ya kupeana mkono. Huwezi kujua algoriti ya ubadilishanaji wa funguo au uthibitishaji kwa kuangalia tu jina la cipher suite ya TLS 1.3. Zana hii itaonyesha ujumbe "TLS 1.3 hujadili ubadilishanaji wa vitufe na uthibitishaji kando na suti ya msimbo." inapogundua cipher suite ya TLS 1.3.

Faragha na Usindikaji wa Data

Usalama wa data yako ni muhimu wakati wa kufanya uchambuzi wa mifumo ya usalama. Maelezo yako ya TLS yaliyobandikwa yasalie kwenye kivinjari chako. Zana hii haipakii au kuhifadhi maelezo yoyote unayoweka kwenye seva yoyote ya nje. Usindikaji wote unafanyika ndani ya kivinjari cha mtumiaji.

Zana hii inafanya uchambuzi tuli (static analysis) pekee kulingana na maandishi uliyobandika. Haifanyi uchanganuzi wa moja kwa moja kwenye mtandao, haiunganishi na seva pangishi, haithibitishi vyeti vya SSL/TLS, haipimi ukubwa wa funguo za siri, wala haipimi tabia ya kushusha kiwango cha usalama (downgrade behavior).

---

Maswali Yanayoulizwa Mara kwa Mara

Je, ni umbizo gani la pato la TLS ninaweza kubandika?

Bandika maandishi kutoka kwa vichanganuzi vya kawaida vya TLS, openssl s_client, muhtasari wa uchanganuzi wa pakiti, au noti fupi ya ClientHello au ServerHello. Kikagua hutambua majina ya kawaida ya IANA, lakabu za OpenSSL na vitambulisho kadhaa vya kawaida vya heksadesimali; haichagui baiti za pakiti mbichi.

Kwa nini muundo wa misimbo wa TLS 1.3 hauonyeshi RSA au ECDHE?

Majina ya msimbo wa TLS 1.3 yanaelezea usimbaji fiche wa rekodi na heshi ya kupeana mkono. Ubadilishanaji wa ufunguo na uthibitishaji hujadiliwa kando, kwa hivyo haziwezi kuzingatiwa kutoka kwa jina la kikundi pekee.

Je, matokeo haya yanathibitisha kuwa seva ni salama?

Hapana. Inafafanua maandishi unayobandika pekee. Haiunganishi kwa seva pangishi, kuthibitisha cheti, kupima ukubwa wa vitufe, kupima tabia ya kushusha kiwango au kuonyesha kila kundi ambalo seva inakubali.