V1.9.2 Communications Architecture

Requirement:

Verify that application components verify the authenticity of each side in a communication link to prevent person-in-the-middle attacks. For example, application components should validate TLS certificates and chains.

Explanation:

Требование определяет необходимость проведения проверки подлинности каждой из сторон в канале связи для предотвращения атак типа "man-in-the-middle" (MitM). Основное внимание здесь уделяется проверке сертификатов TLS и цепочек сертификатов.

Authentication of Communication Parties:

• При любом безопасном обмене данными очень важно подтвердить идентификацию обеих сторон, обычно называемых клиентом и сервером.
• Аутентификация участников связи позволяет убедиться, что вы действительно общаетесь с тем, кто вам нужен, а не со злоумышленником, пытающимся перехватить данные или манипулировать ими.

Man-in-the-Middle (MitM) Attacks:

• Атака MitM происходит, когда злоумышленник негласно перехватывает или изменяет обмен данными между двумя сторонами. Это может привести к краже данных, перехвату или несанкционированному изменению данных.
• Аутентификация участников обмена данными является одним из основных способов защиты от MitM-атак.

TLS Certificates and Chains:

•  Transport Layer Security (TLS) - это протокол, используемый для установления защищенных соединений по сети. TLS использует цифровые сертификаты для проверки подлинности взаимодействующих сторон.Сертификаты выдаются доверенными центрами сертификации ("CA") и образуют цепочку доверия. Проверка этой цепочки гарантирует подлинность сертификата

Data Integrity: Аутентификация взаимодействующих сторон гарантирует, что данные, которыми они обмениваются между собой, не будут подделаны злоумышленниками.

Confidentiality: Позволяет сохранить приватность конфиденциальной информации, гарантируя, что она не будет перехвачена злоумышленниками.

Trustworthiness: Установление доверия к взаимодействующим сторонам имеет решающее значение, особенно при передаче таких конфиденциальных данных, как учетные данные для входа в систему или финансовая информация.

MitM Attack Prevention: Проверка TLS сертификатов и цепочек является надежным средством защиты от MitM-атак, существенно затрудняя злоумышленникам перехват или изменением данных.

Приведем пример, использующий популярную библиотеку requests для демонстрации проверки сертификатов TLS при выполнении HTTPS-запроса:

Пример проверки сертификатов TLS

import requests

url = "https://example.com"

# Perform an HTTPS request with certificate validation

try:

response = requests.get(url, verify=True)

if response.status_code == 200:

print("Request successful")

else:

print(f"Request failed with status code {response.status_code}")

except requests.exceptions.RequestException as e:

print(f"Error: {e}")

В данном примере параметр verify=True в функции requests.get обеспечивает включение проверки TLS сертификата . Библиотека будет проверять цепочку сертификатов перед выполнением запроса, что поможет предотвратить MitM-атаки.

Remediation:

Для выполнения данного требования следует рассмотреть следующие варианты реализации:

1.TLS Implementation: Убедитесь, что приложение использует TLS соединение.

2.Certificate Validation:  Реализуйте строгие процедуры проверки сертификатов, включая:

• Проверку того, что сертификат выпущен доверенным центром CA.
• Проверку срока действия сертификата.
• Подтверждение соответствия сертификата ожидаемому имени хоста (CN=hostname).

3. Certificate Pinning: Рассмотрите возможность реализации функции "pinning" сертификатов, при которой приложение доверяет только определенным сертификатам или открытым ключам, что делает его еще более устойчивым к MitM-атакам.

4. Chain of Trust: Проверка всей цепочки сертификатов, гарантирующая, что каждый сертификат в цепочке является действительным и подписан доверенным центром сертификации CA.

5. Revocation Checking: Реализация механизмов проверки статуса отзыва сертификата с помощью протокола Online Certificate Status Protocol (OCSP) или списков отзыва сертификатов (CRL).

OCSP stapling https://ssl-config.mozilla.org/

ssl_stapling on;

ssl_stapling_verify on;

6. Logging and Alerts: Реализуйте механизмы логирования и оповещения для обнаружения и реагирования на любые аномалии, связанные с проверкой сертификатов.

How to check: https://www.ssllabs.com/ssltest/analyze.html?d=example.com

Additional: