تغییرات کنترل امنیتی به دلیل کلاینت رمزگذاری شده TLS سلام

ClientHello رمزگذاری شده (ECH) در مرورگر کروم، مرورگر موزیلا و سرورهای میزبانی شده توسط Cloudflare. سایر شبکه های تحویل محتوا (CDN) ممکن است از این روند پیروی کنند. Cloudflare حدود 70 درصد از وب سایت ها را پشتیبانی می کند و خواهد شد در اوایل سال 2024 پس از مواجه شدن با برخی مشکلات در آزمایش اولیه در اکتبر 2023، پشتیبانی از سایت های کلاینت بتا را دوباره اضافه کنید..

ECH به این معنی است که وقتی ECH فعال باشد، جلسات HTTPS دیگر نام دامنه وب سرور مورد نظر را نشان نمی دهد. کل ClientHello از مرورگر وب تا CDN رمزگذاری شده است، بنابراین دید از همه سیستم های میانی به نام سرور سرویس گیرنده میزبانی شده توسط CDN در “ClientHelloOuter” به عنوان مقصد و مرورگر به عنوان نقطه پایانی دیگر محدود می شود. “ClientHelloInner” با مقصد واقعی رمزگذاری شده باقی می ماند و فقط برای مرورگر و CDN قابل مشاهده است. منابع بزرگی وجود دارد که آنها در مورد آنها بحث می کنند دلایل حفظ حریم خصوصی در پشت این تغییرات در استاندارد TLS گروه ویژه مهندسی اینترنت (IETF).

تغییرات رمزگذاری شده با TLS به ClientHello برای شما چه معنایی دارد

مهم است که از این تغییرات و نحوه تأثیر آنها بر مجموعه حفاظتی فعلی شما آگاه باشید. بسته به مکانیسم‌هایی که برای شناسایی تهدیدات از دستگاه‌های میانی استفاده می‌شود، ممکن است توانایی شناسایی تهدیدها بر اساس یک URL مخرب شناخته شده یا نام دامنه بد شناخته شده با استفاده از امضاهای جلسه رمزگذاری شده با TLS کاهش یابد. مهم است که توجه داشته باشید که دستگاه های شما ممکن است از تکنیک های جایگزین استفاده کنند و ممکن است تحت تأثیر این تغییر قرار نگیرند. با این حال، بسیاری تحت تاثیر قرار خواهند گرفت.

از آنجایی که دید از روی سیم محدود است، احتمالاً شاهد تغییراتی در نحوه ارائه حفاظت خواهیم بود. در حالت ایده آل، این از قبل برنامه ریزی می شود تا تأثیر تهدیدات شبکه های شرکتی ناشی از بردارهای حمله شناخته شده را نیز در نظر بگیرد. نظارت بر کارایی محصولات امنیتی خود در هفته ها و ماه های آینده بسیار مهم است. اگر کاهش یا افت مورد انتظار وجود دارد، با ارائه دهنده خود تماس بگیرید تا مشخص شود که آیا رویکردهای جایگزین اضافه شده است یا خیر. این زمانی است که به دلیل افزایش استفاده از رمزگذاری و امنیت جاسازی شده، استراتژی حفاظت از امنیت خود را با فشار در حال تکامل برای محافظت مبتنی بر نقطه پایانی مرور کنید. همانطور که به سمت حرکت می کنیم اعتماد صفربرخی از کنترل‌ها دیگر مورد نیاز نخواهند بود، زیرا کنترل‌های جدید ساخته شده ممکن است نیاز به زیرساخت‌های سنتی را جایگزین کند.

حفاظت های امنیتی که تحت تأثیر این تغییر قرار نخواهند گرفت

خدمات مسدودسازی جستجوی نام دامنه

این نوع خدمات، که شامل مرکز تجزیه و تحلیل و به اشتراک گذاری اطلاعات چند ایالتی (MS-ISAC) می شود. نام دامنه مخرب را مسدود و گزارش کنید (MDBR) و MDBR+ پیشنهادات تحت تأثیر قرار نمی گیرند، زیرا مرورگر به جستجو در نام دامنه مورد نظر ادامه می دهد. ارائه خدمات از DNS برای تعیین اینکه آیا دسترسی به یک وب سایت مجاز است یا خیر استفاده می کند و هیچ تغییری در این قابلیت وجود ندارد. این یک نقطه کنترل انبوه را فراهم می کند که در آن یک سازمان می تواند با سرویس ها برای محافظت در برابر محتوای مخرب قرارداد ببندد.

ارائه خدمات DNS معمولاً از طریق قراردادی ارائه می شود که در آن توافقنامه سطح خدمات و سطح امنیتی برای محافظت از حریم خصوصی سابقه دسترسی به وب سازمان ها وجود دارد.

دستگاه های نهایی مدیریت شده

ECH و DNS از طریق HTTPS (DoH) در Chrome، Firefox و Edge در دستگاه مدیریت‌شده غیرفعال هستند. این بدان معناست که ECH بر روی سرویس‌های امنیتی که امروزه بر روی دستگاه‌های مدیریت شده کار می‌کنند، تأثیری نخواهد داشت، زیرا فرض می‌شود که سازمان‌ها نقاط پایانی خود را کنترل می‌کنند و این شانس را دارند که اطمینان حاصل کنند که این قابلیت غیرفعال است.

اگر محصولی به‌عنوان تحت‌تأثیر فهرست شده باشد اما مشتریان مدیریت شوند، این امر تأثیر سایر خدمات را به بی‌تأثیر تغییر می‌دهد.

توجه داشته باشید که در صورت عدم مدیریت، موارد دستگاه خود (BYOD) را بیاورید.

خدمات حفاظت نقطه پایانی

با گسترش گسترده‌تر رمزگذاری، نقطه پایانی به تمرکز فزاینده‌ای برای امنیت تبدیل می‌شود.

یک محصول مبتنی بر عامل لبه همچنان از برنامه هایی که مستقیماً روی سیستم عامل اجرا می شوند محافظت می کند. یک محصول مبتنی بر عامل نقطه پایانی نمی‌تواند اتصالات مرورگر را که در آن ECH پشتیبانی می‌شود، رهگیری کند، زیرا هرگونه رهگیری به عنوان یک حمله توسط پسوند پروتکل TLS برای ECH در نظر گرفته می‌شود. خدمات امنیتی نقطه پایانی CIS (ESS) و مرکز به اشتراک گذاری و تجزیه و تحلیل اطلاعات زیرساخت های انتخاباتی (EI-ISAC’s) تشخیص و پاسخ نقطه پایانی ارائه خدمات (EDR) در حال حاضر ترافیک وب را رهگیری نمی کند زیرا MDBR و MDBR+ از طریق حفاظت DNS از وب سایت های مخرب محافظت می کنند.

پسوندهای امنیتی مرورگر

افزونه مرور ایمن گوگل (پشتیبانی شده در کروم و فایرفاکس) یا مرورگر SmartScreen Microsoft Defender یکپارچه Edge به جلوگیری از دسترسی به سایت های مخرب شناخته شده موجود در لیست های مسدود آنها ادامه خواهد داد.

برنامه‌های افزودنی مرورگر برای نظارت بر سرقت داده یا سایر خدمات به کار خود ادامه خواهند داد زیرا بخشی از پلت فرم مرورگر هستند.

تا زمانی که هیچ آسیب پذیری شناخته شده/ناشناختی در مرورگر مورد سوء استفاده قرار نگیرد، برگه های مرورگر که به صورت مجزا اجرا می شوند (معروف به کانتینر) برای جلوگیری از فرار بدافزار از تب ادامه خواهند داشت.

محصولات امنیتی که ممکن است تحت تأثیر ECH قرار گیرند

محصولات نقطه پایانی که ترافیک وب را پراکسی می کنند

هر محصول مبتنی بر عامل نقطه پایانی نمی‌تواند ترافیک وب را از یک مرورگر دارای ECH فعال کند. هرگونه رهگیری بین مرورگر و پایانه CDN یک جلسه TLS یک حمله در نظر گرفته می شود توسط پروتکل و توسط طراحی جلوگیری می شود.

خدمات پروکسی TLS

فایروال‌های پراکسی TLS یا سرویس‌های بازرسی بسته عمیق که جلسه TLS را رهگیری، خاتمه و سپس راه‌اندازی مجدد می‌کنند، دید کامل ترافیک را به جز مقدار SNI حفظ می‌کنند، مگر اینکه ECH در مرورگر غیرفعال باشد. هنگامی که ECH فعال است، مشاهده محتوای جلسه و ECH خارجی امکان پذیر است. این فقط نام میزبان CDN را ارائه می دهد، جایی که استفاده از مقدار SNI موجود در ClientHelloInner دیگر امکان پذیر نیست. اگر فایروال شما برای تعیین جلسات بازرسی به SNI متکی است (مثلاً دسته‌های تأیید شده رمزگذاری شده باقی می‌مانند، مانند مراقبت‌های بهداشتی یا امور مالی)، پس باید ECH را غیرفعال کنید. کادر میانی در پیش نویس ECH به عنوان یک مهاجم در نظر گرفته می شود و کاهش یک جلسه برای حذف ECH توسط فایروال مجاز نیست. این کار را می توان در مرورگر انجام داد.

پراکسی‌های TLS معماری‌های اعتماد صفر را مختل می‌کنند، زیرا نقطه‌ای از قرار گرفتن در معرض ترافیک انبوه را فراهم می‌کنند که در غیر این صورت ایمن و توزیع می‌شد. با بهبود سایر کنترل‌های جبران‌کننده و مکانیسم‌های امنیتی داخلی، ارزش این نوع رهگیری باید کاهش یابد. نظارت بر کارآیی ابزارهای شما در سال‌های آتی، تصمیمات تجاری را برای حذف لایه‌های غیرضروری حفاظت با ظهور قابلیت‌های تعبیه‌شده جدید آگاه می‌کند.

سیستم های تشخیص نفوذ (IDS)

هنگامی که ECH برای سیستم های مدیریت شده فعال نیست، توانایی مشاهده سرور هدف واقعی مشخص شده در SNI باقی می ماند. شناسایی از طریق شاخص‌های سازش (IoC) با نام میزبان برای وب‌سایت‌های هدفمند مؤثر باقی خواهد ماند.

وقتی ECH فعال باشد، دید SNI حذف می‌شود و IDS می‌تواند اطلاعات هدر بسته TCP/IP را با مقصد CDN ببیند. با این پیکربندی، IoC نام میزبان مقصد برای IDS قابل مشاهده نخواهد بود.

حمایت از نیازهای کسب و کار با سرمایه گذاری های امنیتی

از آنجایی که رمزگذاری همچنان در اینترنت گسترده تر می شود، نظارت بر اثربخشی کنترل ها و تنظیم آنها بسیار مهم است. در حالت ایده‌آل، این قبل از معرفی این کنترل‌های جدید باشد، نه بعد از آن. چشم انداز فناوری به سرعت در حال تحول است. توانایی های جدیدی برای محافظت و دفاع به وجود می آید. در بسیاری از موارد، این قابلیت‌های جدید داخلی هستند و می‌توانند نیاز به افزودن لایه‌های محصولات اضافی را کاهش دهند. از آنجایی که تغییرات زیرساختی مانند روندهای ابری و قابلیت‌های امنیتی نقطه پایانی در حال تکامل هستند، سرمایه‌گذاری‌های امنیتی باید ارزیابی و متعادل شوند تا اطمینان حاصل شود که نیازهای تجاری برآورده می‌شوند.

ایناهاش منبع که مبادلات حریم خصوصی/امنیت برای ECH را توضیح می‌دهد و شامل پیوندهایی به نحوه تنظیم هر مرورگر برای این قابلیت است.

ملاحظاتی برای آینده

این تغییر در حفاظت ها همچنین چندین سؤال اضافی را ایجاد می کند:

• در مواردی که فقط می‌توان سرور رو به مشتری میزبان CDN را به‌عنوان مقصدی با قابلیت ECH مشاهده کرد، آیا با کاهش سایر نقاط کنترل، مسئولیت حفاظت از محتوای بالقوه مخرب ارائه‌شده از طریق CDN را نیز به CDN منتقل می‌کند؟
• آیا CDN برای اطمینان از اینکه به مشتریان در ارائه محتوای مخرب کمک نمی کند، پاسخگو خواهد بود؟
• آیا این بار فقط بر دوش سازمانی که خدمات ارائه شده توسط CDN را خریداری می کند، گذاشته می شود؟ یا بار مصالحه بر دوش سازمان در حال بهبود خواهد ماند؟
• این به چه معناست از نظر طرح‌های نظارتی ملی و منطقه‌ای (به عنوان مثال اتحادیه اروپا) که الزامات خاصی دارند زیرا CDN‌ها عمدتاً شرکت‌های آمریکایی هستند؟

تاثیر کوتاه مدت این تغییرات را در هفته های آینده خواهیم دید. اگر آلودگی‌های بدافزار افزایش یابد، ممکن است تغییراتی در خط‌مشی و خدمات برای رفع آنها در درازمدت ایجاد شود.