የTLS ስሪት መፈተሻ

የTLS መርማሪው እንዴት እንደሚሰራ

መሣሪያው ምን ያደርጋል

የTLS መርማሪው በእያንዳንዱ የፕሮቶኮል ስሪት (TLS 1.0, 1.1, 1.2, እና 1.3) ግንኙነት ለመመከር በመሞከር የአስተናጋጅ ስም (hostname) የTLS አቀማመጥን ይመርምራል እና የተደገፉ ስሪቶችን ይሪፖርታል። እንዲሁም የሰርቨሩን X.509 ሰርቲፊኬት ዝርዝሮች ይመልሳል፣ የርዕስ (subject)፣ አታሚ (issuer)፣ የተፈቃድ ቀናት (validity dates)፣ SANs እና የቁልፍ መጠንን ጨምሮ። ይህ ምርመራ በሰርቨር-ወገን API በኩል ይሄዳል እንዲሁም በአሳሽ የደህንነት ገደቦች ምክንያት በቀጥታ የTLS ሶኬት መዳረሻ ላይ የሚኖሩ እገዳዎችን ያስወግዳል።

የተለመዱ የገንቢ አጠቃቀም ሁኔታዎች

DevOps ኢንጂነሮች ከአቀማመጥ ለውጦች በኋላ የተወገዱ ፕሮቶኮሎች (TLS 1.0/1.1) መሰናከላቸውን ለማረጋገጥ የTLS መርማሪዎችን ይጠቀማሉ፣ ይህም የPCI-DSS ተገዢነትን ያረጋግጣል። ዲቨሎፐሮች የሰርቲፊኬት ሰንሰለት ችግኝ ይመርመራሉ፣ ከመታደስ በፊት የማብቂያ ቀናትን ይፈትሻሉ፣ እና wildcard ወይም SAN ሰርቲፊኬቶች ሁሉንም የሚያስፈልጉ ንዑስ-ዶሜይኖች እንደሚሸፍኑ ያረጋግጣሉ። የደህንነት ኦዲተሮች እንደ POODLE ወይም BEAST ያሉ የdowngrade ጥቃቶች ለአገልግሎቶች መጋለጥ ሊያስከትል የሚችል ደካማ የፕሮቶኮል ድጋፍ ለመለየት መጨረሻ ነጥቦችን (endpoints) ይቃኛሉ።

የውሂብ ቅርጾች፣ አይነቶች ወይም ልዩነቶች

የTLS ስሪቶች ከ 1.0 (1999, የተወገደ) እስከ 1.1 (2006, የተወገደ) እና 1.2 (2008, በስፋት የተደገፈ) እስከ 1.3 (2018, በጣም ፈጣን እና በጣም ደህንነታማ) ድረስ ይዘረጋሉ። የሰርቲፊኬት መረጃ የsubject Common Name እና Subject Alternative Names (SANs)፣ የissuer ሰንሰለት፣ የRSA/ECDSA ቁልፍ አይነት እና መጠን፣ የፊርማ አልጎርይዝም፣ እና የnot-before/not-after የተፈቃድ የጊዜ ማህተሞችን ያካትታል። ውጤቶቹ እያንዳንዱ የፕሮቶኮል ስሪት የhandshake ሂደት ተሳክቶ እንደተጠናቀቀ ወይም በሰርቨሩ እንደተከለከለ ያመለክታሉ።

የተለመዱ ስህተቶች እና የጠርዝ ሁኔታዎች

CDNs እና load balancers ከorigin server የተለየ ሰርቲፊኬት ወይም የTLS አቀማመጥ ሊያቀርቡ ይችላሉ፣ ስለዚህ ሁልጊዜ ተጠቃሚዎችዎ የሚገናኙበትን እውነተኛ መጨረሻ ነጥብ (endpoint) ይፈትሹ። SNI (Server Name Indication) በአንድ IP ላይ ብዙ ሰርቲፊኬቶችን ለሚያቀርቡ አስተናጋጆች አስፈላጊ ነው — በIP አድራሻ ብቻ መፈተሽ የተሳሳተ ሰርቲፊኬት ሊመልስ ይችላል። አንዳንድ ሰርቨሮች TLS termination proxies ይጠቀማሉ፣ ፕሮክሲው TLS 1.3 ቢደግፍም የጀርባ ክፍሉ (backend) 1.2 ብቻ ሊናገር ይችላል፣ ይህም ስለ ሙሉ ሰንሰለቱ የደህንነት አቋም የሚያሳስብ ስሜት ይፈጥራል።

ይህን መሣሪያ ከኮድ ጋር መቼ መጠቀም እንደሚገባ

በክስተት ምላሽ (incident response)፣ የሰርቲፊኬት መታደስ ማረጋገጫ፣ ወይም የተገዢነት ፈጣን ምርመራዎች ጊዜ የግለሰብ መጨረሻ ነጥቦችን በፍጥነት ለመፈተሽ ይህን የአሳሽ መሳሪያ ይጠቀሙ። በብዙ መጨረሻ ነጥቦች ላይ የTLS አቀማመጦችን ቀጣይነት ያለው ክትትል ለማድረግ testssl.sh, sslyze ወይም ማስጠንቀቂያ፣ ታሪካዊ ክትትል እና ራስ-ሰር የስካን መርሃ ግብሮችን የሚሰጡ የደመና-መሠረት የሰርቲፊኬት ክትትል አገልግሎቶች ያሉ ልዩ መሳሪያዎችን ይጠቀሙ።