Verstehen der Pin-Belegung und der Zertifikatsfixierung in Umbrella

Einleitung

In diesem Dokument werden die Zertifikatpinning und die Pin-Belegung mit öffentlichen Schlüsseln in Cisco Umbrella beschrieben.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Cisco Umbrella.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Überblick

Die Zertifikatpinning ist ein Sicherheitsmechanismus im Internet, der es Anwendungen ermöglicht, Identitätswechsel mit HTTPS-Servern zu verhindern, wenn falsch ausgestellte oder anderweitig betrügerische digitale Zertifikate verwendet werden. Hierzu wird ein Server mit einem definierten Satz öffentlicher Schlüssel verknüpft, die als einzige für Verbindungen mit diesem Server vertrauenswürdig sein können. Es gibt zwei Methoden für die Zertifikatfixierung:

• Public Key Pinning (PKP RFC7469) ist ein inzwischen veralteter Mechanismus zum Auslösen der Zertifikatpinning in Webbrowsern. Angeheftete Zertifikate werden mithilfe von HTTP-Headern an den Browser gesendet.
• Die statische Zertifikatausrichtung ist der Punkt, an dem eine Anwendung hartcodiert ist, um bestimmte Zertifikate oder Zertifizierungsstellen zu erwarten. Einige Desktop-/mobile Anwendungen verwenden einen statischen Pinning-Mechanismus für Zertifikate, um die Sicherheit zu erhöhen.

Wenn diese Webanwendungen von Umbrella als Proxy bereitgestellt werden, stimmt der von Umbrella bereitgestellte öffentliche Schlüssel nicht überein, was dazu führt, dass die Anwendung die HTTPS-Verbindung schließt. Die Zertifikatpinning gilt in der Regel nur für Desktop-/mobile Anwendungen, da die PKP-Unterstützung von modernen Webbrowsern entfernt wurde.

Kompatibilität mit Umbrella SWG

Umbrella umgeht bekannte URLs von der SSL-Entschlüsselung, um Probleme mit der Zertifikatsanheftung unter bestimmten Umständen zu beheben. Tabelle 1 enthält Anwendungen, die global für alle Umbrella-Kunden umgangen wurden. Tabelle 1 enthält auch andere Anwendungen, die zum Zeitpunkt der Dokumenterstellung bzw. beim Schreiben bekanntermaßen die Zertifikatspin-Belegung verwenden. Wenn Sie eine dieser Anwendungen verwenden, können Sie aus den angegebenen Gründen die später beschriebenen Methoden verwenden, um die Anwendung von der HTTPS-Überprüfung zu umgehen. Tabelle 2 enthält weitere Details zu den Anwendungsdiensten, die in Tabelle 1 behandelt werden. 

Andere Anwendungen für das Zertifikatsanheften

Anwendungen können pro Kunde (pro Richtlinie) umgangen werden, um Probleme mit der Zertifikatpinning-Funktion mit der selektiven Entschlüsselung von Umbrella zu lösen. Diese Ausnahmen lassen sich einfach anhand der Domäne, des Anwendungsnamens oder der Kategorie implementieren. Umbrella SWG enthält eine große Bibliothek von Anwendungen in unserer App-Datenbank.

In den meisten Fällen liegt die Entscheidung, ob die Anwendung umgangen werden soll, beim IT-Administrator. Das Hinzufügen einer Entschlüsselungsausnahme ist ein Sicherheitsnachteil, da die Sicherheits-/Dateiprüfung des Webinhalts verhindert wird. Dies ist eine individuelle Entscheidung, die von der Art der Anwendung und den geschäftlichen Anforderungen abhängt. Wenn sich das Problem der Zertifikatanheftung beispielsweise nur auf eine mobile/Desktop-Anwendung auswirkt, kann der Administrator eine Ausnahme hinzufügen, um die mobile Anwendung zu aktivieren, oder stattdessen die Benutzer bitten, die Webversion der Anwendung zu verwenden.

Dies ist eine Tabelle der Anwendungen, die entweder global für Umbrella-Kunden umgangen werden, und es ist keine Aktion erforderlich oder bekannt, dass zum Zeitpunkt des Schreibens die Zertifikatpinning verwendet wird, und die nicht standardmäßig von Umbrella umgangen werden. Wenn Sie die Anwendungen verwenden, die standardmäßig nicht umgangen werden, können Sie die oben beschriebenen Methoden aus den angegebenen Gründen verwenden, um die Anwendung von HTTPS Inspection zu umgehen.

Tabelle 1 - Anwendungen, die Zertifikatspinning verwenden können

Tabelle 2 - Details zuServices global umgangen (siehe Tabelle 1)

Weitere Informationen finden Sie unter Problembehandlung bei Anwendungen, die nicht den Browser verwenden, oder wenden Sie sich an den Umbrella Support. Anwendungen können nach Prüfung durch das Technikerteam als Ergänzung zu unserer globalen Umgehungsliste in Betracht gezogen werden.