Sut Mae TLS Yn Diogelu Cysylltiad HTTPS Mewn Gwirionedd?

Mae pobl yn dweud "mae HTTPS yn golygu ei fod wedi'i amgryptio" ac yn gadael hi'n fan'na, ond y rhan ddiddorol yw sut mae dau ddieithriad ar y rhyngrwyd yn cytuno ar gyfrinach a rennir heb gwrdd erioed, dros rwydwaith llawn pobl a allai fod yn gwrando. Dyna beth mae TLS yn ei wneud, ac mae'n werth deall y mecanics os ydych chi'n cyffwrdd rhwydweithio, datblygiad gwe, neu ddiogelwch o gwbl.

Yr handshake, cam wrth gam

Pan mae eich porwr yn cysylltu â https://example.com, dyma'n fras beth sy'n digwydd (TLS 1.3, a ddefnyddir gan y mwyafrif o wefannau bellach):

1. ClientHello — mae'r porwr yn anfon y crypto suites a ddefnyddir, nonce ar hap, a rhagdybiaeth ar rhannu allwedd (gan ddefnyddio rhywbeth fel X25519 neu secp256r1) ar gyfer ymnewidiad allweddau.
2. ServerHello — mae'r gweinydd yn dewis crypto suite, yn anfon ei raniad allwedd ei hun, ac yn dychwelyd ei dystysgrif yn ogystal â llofnod sy'n profi ei fod yn dal yr allwedd preifat sy'n cyfateb i'r dystysgrif honno.
3. Tarddiad allwedd — mae'r ddwy ochr bellach yn annibynnol yn cyfrifo'r un gyfrinach a rennir gan ddefnyddio mathemateg Diffie-Hellman-style ar eu rhannau allwedd. Ni all yr un o'r ddau byth drosglwyddo'r gyfrinach ei hun; mae'n deillio, nid yn cael ei anfon.
4. Negeseuon Finished — mae'r ddwy ochr yn cadarnhau na chamweiniwyd yr handshake trwy anfon MAC dros y trawsgript handshake cyfan.

Ar ôl hynny, mae popeth yn cael ei amgryptio gyda allweddau cymesur sy'n deillio o'r gyfrinach a rennir, fel arfer AES-128-GCM neu ChaCha20-Poly1305. Gostwng TLS 1.3 hwn i lawr o handshake dwy-rownd-drip TLS 1.2 i yn lle hynny un daith rownd yn effeithiol, sy'n ennill latensi go iawn ar raddfa.

Pam mae'r dystysgrif yn fwy pwysig na'r amgryptiad

Mae amgryptiad heb ddilysu hunaniaeth yn ddidda — gall unrhyw un sefydlu sianel amgryptiedig, gan gynnwys ymosodwr sy'n rhedeg rhwng-yn-y-canol. Yr hyn sy'n cysylltu allwedd gyhoeddus â enw parth yw'r dystysgrif, ac mae'n cael ei lofnodi gan Awdurdod Tystysgrif (CA) fel Let's Encrypt neu DigiCine.

Mae eich porwr yn ymddiried mewn rhestr sefydlog o CAs gwraidd sydd wedi'u bacio i'r OS neu'r tŷ ymddiriedaeth porwr. Mae tystysgrif y gweinydd yn cysylltu trwy dystysgrif rhyngdal i un o'r gwreiddiau hynny. Os na chyda'r gadwyn yn dilysu, neu nad yw'r parth yn y tystysgrif yn cyfateb i'r un a ofynnoch amdano, rydych chi'n cael y dudalen rhybudd goch. Yr hwn sy'n wir ffiniau diogelwch yw'r model cadwyn-o-ymddiriedaeth — dwyn allwedd lofnodi CA a gallwch fintio tystysgrif dilys ar gyfer unrhyw parth, sy'n pam mae compromises CA yn cael eu trin fel digwyddiadau mawr.

Yr hyn mae crypto cymesur yn erbyn asymmetraidd yn ei wneud fan hyn

Mae crypto asymmetraidd (RSA neu gromlin eliptig) yn araf ac yn ddrud, felly dim ond yn ystod yr handshake y mae TLS yn ei ddefnyddio — i ddilysu'r gweinydd ac i helpu sefydlu'r gyfrinach a rennir. Unwaith y bydd hynny'n digwydd, mae pob data go iawn (HTML, JSON, beth bynnag) yn cael ei amgryptio gyda chiphers cymesur cyflym. Yr ymagwedd hybrid hon yw'r un patrwm y gwelwch chi yn SSH, PGP, a'r rhan fwyaf o systemau crypta byd-real: asymmetraidd ar gyfer hunaniaeth ac ymnewidiad allweddau, cymesur ar gyfer data swp.

Mae dirgelu ymhellach yn fanylion cysylltiedig sy'n werth ei adnabod: oherwydd bod y gyfrinach a rennir yn dod o rannau allwedd Diffie-Hellman dros dro a gynhyrchwyd yn ffres fesul sesiwn, hyd yn oed os yw rhywun yn cofnodi'ch traffig ac yn ddiweddarach yn dwyn allwedd preifat y gweinydd, ni allant hyd yn oed ddadgryptio hen sesiynau. Nid oedd yr eiddo hynny yn bodoli mewn ymnewidiad allwedd hen RSA-yn-unig.

Ei wirio'ch hun

Nid oes angen i chi ymddiried mewn icon padlock gwyrdd yn ddall. Rhedeg:

openssl s_client -connect example.com:443 -tls1_3

Mae hynny'n dangos i chi'r crypto suite a negosiwyd, y gadwyn tystysgrif, ac os yw'r handshake wedi'i gwblhau'n llwyddiannus. Am edrychwad cyflymach ar yr hyn y mae porwr yn ei weld, mae curl -v https://example.com yn argraffu'r fersiwn TLS a manylion tystysgrif cyn yr ymateb HTTP.

Gallwch hefyd dadgryptio'ch traffig eich hun yn Wireshark os ydych chi'n allforio'r newidyn amgylchedd SSLKEYLOGFILE cyn lansio Chrome neu Firefox — yn go ddefnyddiol ar gyfer dadbuggio problemau TLS yn lle dyfalu.

Lle mae hyn yn torri mewn gwirionedd yn ymarfer

Nid ydyw methiannau HTTPS byd-real fwyaf yn doriadau cryptograffig, maent yn weithredol: tystysgrif sy'n ddarfodedig, cadwyni rhyngdal wedi'u camfonfigio, cleients wedi'u sticlo ar hen fersiynau TLS, neu gynnwys cymysg (tudalennau HTTPS yn llwytho adnodd HTTP). Mae ymosodiadau lefel protocol go iawn yn erbyn TLS 1.3 modern yn anaml oherwydd caeodd y spec y rhan fwyaf o'r padding oracle a trick downgrade a niweidiodd SSL 3.0 a TLS cynnar. Yr eiddo gwannaf yn awr yw fel arfer yr endpointau — CA wedi'i beryglu, allwedd preifat a dwyn, neu ddefnyddiwr yn clicio trwy rybudd tystysgrif na ddylai fod wedi'i wneud.

Os ydych chi eisiau mynd ymhellach, mae segmentau rhwydweithio a cryptograffeg Korra Studio yn cymryd y mathemateg Diffie-Hellman sylfaenol ac astudiaethau protocol lefel pecyn yn ddyfnach.