Как определить поддельный SSL-сертификат?

Тревор Перрен и Мокси Мерлинспайк, специалисты по ИТ-безопасности, нашли способ, как определить поддельный SSL-сертификат. Для данной цели были разработаны специальное приложение TACK и расширение протокола Transport Layer Security (TLS). Разработка на данный момент изучается Инженерным советом Интернета.

Приложение TACK дает возможность владельцу домена генерировать пару открытого и закрытого ключей. Их еще называют TACK-ключами. Закрытый ключ служит для подписи открытого TLS-ключа сервера. Открытый же TACK-ключ направляется браузеру и применяется для проверки подлинности TLS-ключа, который подписан с помощью TACK.

Если же происходит подмена SSL-сертификата, то проверка подлинности сертификата будет неудачной и атака будет отменена. В некоторых случаях браузер к домену может привязать открытый TACK-ключ.

За прошлый год стало известно о нескольких случаях подмены SSL-сертификата. В том числе и из центров сертификации Diginotar и Comodo. А специалисты Google выступили с предложением использовать HTTP-расширение «public key pinning». Это позволит веб-сайтам передать браузеру достоверную информацию о SSL-сертификате.

Дополнительно о способах защиты домена при помощи SSL-сертификата читайте здесь .