정보 보안의 초석은 C-I-A - 기밀성, 무결성 및 가용성의 세 가지 개념을 중심으로 합니다. 이것이 보안을 수행하거나 취소하는 기본 원칙입니다.
아무렇지 않게 웹을 탐색할 때 현재 방문하고 있는 웹 사이트가 실제로 주장하는 웹 사이트인지 여부는 크게 신경 쓰지 않을 것입니다. 그러나 웹사이트와 상호 작용하고 기밀 정보를 제공해야 하는 경우 C-I-A가 중요해집니다.
기밀 거래를 비공개로 만들기 위해 암호화가 탄생했습니다. 우리는 SSL/TLS를 사용하여 "안전한" 웹사이트에 연결하고 비즈니스를 수행합니다. Amazon에서 책을 구입하든, 은행 웹사이트에서 주식 포트폴리오(재미있는 돈)를 관리하든, 귀하를 투입해야 하는 마지막 DNA 테스트를 확인하든 상관 없습니다. 명확하므로 위자료를 지불하지 않아도됩니다 ...
그러나 이것은 무결성 부분에 대한 답변이 아닙니다. 우리가 방문하는 웹사이트가 실제로 주장하는 웹사이트인지 어떻게 확신할 수 있습니까? 불량(피싱) 서버에 개인 데이터를 제출하려고 시도하지 않는다고 100% 확신할 수 있는 방법은 무엇입니까?
이것이 인증 기관(CA)이 하는 일입니다. 이들은 중립적인 제3자 기관으로 전 세계 보안(HTTPS) 웹사이트에 대한 식별 정보를 제공합니다. 합의는 웹사이트가 CA 중 하나에 의해 승인되고 올바른 인증서를 제공하는 경우 웹사이트가 주장하는 것이라고 주장합니다.
그래서 우리는 괜찮지, 그렇지?
그러나 이것은 여러분 중 일부에게는 충분하지 않을 수 있습니다. 최근 성공적인 MD5 충돌 공격에 대한 이야기가 있습니다.
괴짜가 아닌 사람들을 위해 요점은 다음과 같습니다. 해시는 일반 텍스트를 암호문에 고유하게 매핑하는 돌이킬 수 없는 주입 함수입니다. 이것은 두 개의 다른 값이 동일한 해시를 가질 수 없음을 의미합니다. 가장 널리 사용되는 해시 알고리즘은 MD5 및 SHA-1입니다.
따라서 웹사이트에 인증서가 제공되면 이 인증서에는 특정 해시가 있습니다. 이론적으로 다른 웹사이트는 콘텐츠와 상관없이 동일한 해시를 가질 수 없습니다.
MD5 충돌은 정확히 두 개의 다른 값이 동일한 해시로 변환되는 경우입니다. 이것은 두 개의 서로 다른 인증서가 동일한 서명을 가질 수 있음을 의미합니다. 따라서 이론적으로 악의적인 웹 사이트는 가장하려는 합법적인 사이트의 MD5와 일치하는 MD5가 포함된 잘못된 인증서를 제시할 수 있으며 해시 검사가 통과되기 때문에 전 세계 웹 브라우저는 기꺼이 이를 수락합니다.
이는 우리가 웹사이트에 대한 단일 확인 소스를 신뢰할 수 없음을 의미합니다. 보다 강력한 접근 방식이 필요합니다. 관점을 입력하십시오.
관점
Perspectives는 브라우저가 HTTPS 웹사이트에 연결할 때마다 여러 네트워크 공증인에게 연락하는 Firefox 보안 확장 프로그램입니다. 공증인은 인증서가 변경되었는지 여부와 자체 데이터베이스와 일치하는지 여부를 확인하는 일종의 배심원입니다. 유효한 인증서는 모든 공증인에 대해 동일한 정보를 표시해야 합니다. 불량 인증서는 일부 공증인에 비해 갑자기 또는 최근에 변경된 것으로 표시될 가능성이 큽니다.
이는 잠재적으로 안전하지 않은 사이트에 연결할지 여부를 결정하고 데이터 무결성 위반을 방지하는 데 도움이 됩니다.
관점은 그 이상을 수행합니다. 브라우저에서 사이트가 만료되었거나 자체 서명되었거나 도메인이 일치하지 않는 사이트를 사용하고 있음을 경고하는 보안 경고를 발견한 경우 Perspectives는 공증인이 보유한 정보가 일치하는지 확인하기 위해 빠른 검사를 실행합니다.
다시 말하지만, 합법적인 것처럼 가장하려는 악성 사이트는 종종 이와 같은 오류를 발생시키지만 안타깝게도 상당수의 정품 사이트도 마찬가지입니다. 관점은 개인적인 의심에 대한 편리한 해결책으로 제공됩니다.
관점 사용
Perspectives를 사용하는 것은 매우 간단합니다. 먼저 확장 프로그램을 설치해야 합니다. 이 작업을 수행하는 방법을 모르는 경우 이 문서를 읽으십시오.
설치 후 처음으로 Firefox를 다시 시작하면 멋진 것을 볼 수 없습니다. 관점 상태 아이콘은 브라우저 창의 오른쪽 하단 모서리에 있습니다.
아이콘을 클릭하면 기본 설정 창이 열립니다.
모든 사이트에 대해 공증인에게 연락할지 아니면 보안 오류를 일으키는 사이트에만 연락할지 결정할 수 있습니다. 또한 검증된 사이트를 영구적으로 신뢰하도록 관점을 설정할 수 있습니다. 또한 공증인에게 연락하기 전에 매번 확인을 요청하도록 할 수도 있습니다.
Perspective에서 요청하도록 결정하면 브라우저 창에 관련 HTTPS 사이트(전체 또는 오류가 있는 사이트)에 대한 노란색 경고 팝업이 표시됩니다.
이제 Perspective가 어떻게 작동하는지 살펴보겠습니다. 우리는 안전한 사이트에 연결되어 있습니다. 확인이 되었고 잘 나옵니다. 그래도 한 번 더 확인해보자.
관점은 잠시 동안 작동한 다음 상태 표시줄에 결과를 표시합니다.
이는 사이트가 유효함을 의미합니다. 아이콘을 클릭하면 더 많은 결과를 볼 수 있습니다.
이 특별한 경우 네 명의 공증인 모두 특정 웹사이트에 대해 동일한 키를 가지고 있습니다. 이것은 사이트 인증서가 변조되지 않았다는 꽤 좋은 표시를 제공합니다. 특정 웹 사이트와 비공개 기밀 거래를 수행하려는 경우 괜찮습니다. 우리가 알고 싶었던 것.
제한 사항
Perspectives는 아직 젊은 프로젝트입니다. 현재 소수의 공증인만 사용됩니다. 미래에는 그 수가 증가할 것입니다. 일부 다른 Firefox 확장 프로그램은 Perspective와 호환되지 않습니다. 마지막으로 프록시 문제로 인해 모든 사이트에서 사이트 확인이 실패할 수 있습니다.
결론
Perspectives는 흥미롭고 중요한 프로젝트입니다. 말하자면 누적된 커뮤니티 경험을 사용하여 웹 사이트 및 해당 인증서의 보안을 다시 확인하는 일종의 신뢰 웹을 만듭니다. 보안에 민감한 사람들에게 이것은 좋은 추가 기능입니다.
웹 보안에 대한 자세한 내용은 내 Safe Web Practices 기사를 참조하십시오. h-online의 Firefox 및 보안 인증서에 대한 기사를 읽어보는 것도 좋습니다. 추천해주신 tlu님 감사합니다.
관점은 모든 운영 체제에서 사용할 수 있습니다.
건배.