Interní školení – Základy SSL

V identity managementu je práce s bezpečnostním protokolem SSL na denním pořádku. Ať už přenášíte údaje o uživatelích mezi propojenými systémy, spravujete vzdálený server přes SSH, synchronizujete hesla, nebo jen chcete zabezpečit přístup uživatelů do informačního systému přes internetový prohlížeč, neustále se setkáváte s potřebou ochránit síťovou komunikaci proti odposlouchávání.

Přesto, že programátoři i systémoví technici SSL běžně používají, občas bývá jejich pohled omezený na problematiku, které se právě oni věnují. Proto jsme uspořádali interní školení s cílem ujasnit si základy SSL a doplnit tu teoretické, tu praktické znalosti o fungování tohoto protokolu.

SSL-Zámek

Agenda školení

Motivace

  • co je SSL
  • s jakými protokoly aplikační a transportní vrstvy komunikuje
  • zabezpečení komunikace šifrováním
  • autentizace komunikujících stran

Teorie šifrování

  • symetrické šifrovací algoritmy a jejich využití v SSL
  • asymetrické šifrovací algoritmy, vlastnosti, důsledky, využití

Postup při komunikaci

  • dohoda účastníků na použitých algoritmech
  • autentizace účastníků pomocí certifikátů
  • vytvoření hlavního šifrovacího klíče
  • šifrovaná komunikace

Certifikáty

  • elektronický podpis
  • CA
  • certificate chain
  • CRL
  • formáty certifikátů

Příklady z praxe

  • HTTPS
  • SSH (SCP, SFTP)
  • OpenVPN (OpenSSL)

Rizika a slabiny SSL

  • man in the middle
  • odvození soukromého klíče z veřejného
  • další útoky (snaha o použití nižší verze SSL, slabších algoritmů atd.)

Ukázky z prezentace

sslprez2

sslprez1

sslprez3

Závěr

Školení bylo koncipované tak, aby pokrývalo průřezově všechny aspekty SSL. Na druhou stranu jednotlivé body, ač jsou zajímavé, byly probrány pouze povrchně. Hlubší rozbor například OpenVPN nebo certifikátů by bez problémů vydal na samostanté školení, ale to tentokrát nebylo cílem. Ačkoliv prezentované termíny účastníci neslyšeli poprvé, u každého bodu vyvstala nějaká otázka, o které se následně diskutovalo a díky tomu si troufám říct, že se každý účastník dozvěděl něco nového. Pokud byste se rádi o tomto školení dozvěděli více, můžete mě kontaktovat na jakub.tomek@bcvsolutions.eu.