Comprendre l'épinglage de clé publique et l'épinglage de certificat dans Umbrella

Introduction

Ce document décrit l'épinglage de certificat et l'épinglage de clé publique dans Cisco Umbrella.

Conditions préalables

Exigences

Aucune exigence spécifique n'est associée à ce document.

Composants utilisés

Les informations contenues dans ce document sont basées sur Cisco Umbrella.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Aperçu

L'épinglage de certificat est un mécanisme de sécurité Internet qui permet aux applications de résister à l'usurpation d'identité contre des serveurs HTTPS en utilisant des certificats numériques mal émis ou frauduleux. Pour ce faire, il associe un serveur à un ensemble défini de clés publiques, qui peuvent être les seules fiables pour les connexions à ce serveur. Il existe deux techniques pour l'épinglage de certificat :

• L'épinglage de clé publique (PKP RFC7469) est un mécanisme désormais obsolète pour déclencher l'épinglage de certificat dans les navigateurs Web. Les certificats épinglés sont envoyés au navigateur à l’aide d’en-têtes HTTP.
• L'épinglage de certificat statique est l'emplacement où une application est codée en dur pour attendre des certificats ou des autorités de certification spécifiques. Certaines applications de bureau/mobiles utilisent un mécanisme d'épinglage de certificat statique pour une sécurité supplémentaire.

Lorsque ces applications Web sont mises en proxy par Umbrella, la clé publique fournie par Umbrella ne correspond pas, ce qui entraîne la fermeture de la connexion HTTPS par l'application. L'épinglage de certificat s'applique généralement uniquement aux applications de bureau/mobiles, car la prise en charge de PKP a été supprimée par les navigateurs Web modernes.

Compatibilité avec Umbrella SWG

Umbrella contourne les URL connues du décodage SSL pour résoudre les problèmes d'épinglage de certificat dans certaines circonstances. Le tableau 1 inclut les applications qui ont été contournées globalement pour tous les clients Umbrella. Le tableau 1 inclut également d'autres applications connues pour utiliser l'épinglage de certificat au moment de la rédaction. Si vous utilisez l'une de ces applications, vous pouvez envisager d'utiliser les méthodes décrites plus loin, pour les raisons indiquées, pour contourner l'application de l'inspection HTTPS. Le tableau 2 fournit plus de détails sur les services d'application traités dans le tableau 1. 

Autres applications d'épinglage de certificat

Les applications peuvent être contournées sur une base par client (par politique) pour résoudre les problèmes d'épinglage de certificat à l'aide de la fonctionnalité de décodage sélectif d'Umbrella. Ces exceptions peuvent être mises en oeuvre facilement en fonction du domaine, du nom de l'application ou de la catégorie ; Umbrella SWG inclut une grande bibliothèque d'applications dans notre base de données d'applications.

Dans la plupart des cas, la décision de contourner l'application incombe à l'administrateur informatique. L'ajout d'une exception de déchiffrement est un compromis de sécurité car il empêche l'inspection de sécurité/fichier du contenu Web. Il s'agit d'une décision individuelle en fonction du type d'application et des besoins de l'entreprise. Par exemple, si le problème d'épinglage de certificat affecte uniquement une application mobile/de bureau, l'administrateur peut choisir d'ajouter une exception pour que l'application mobile fonctionne ou préférer demander aux utilisateurs d'utiliser la version Web de l'application.

Il s'agit d'un tableau d'applications qui sont soit contournées globalement pour les clients Umbrella et aucune action n'est requise ou connue pour utiliser l'épinglage de certificat au moment de la rédaction et non contournées par Umbrella par défaut. Si vous utilisez les applications qui ne sont pas contournées par défaut, vous pouvez envisager d'utiliser les méthodes décrites ci-dessus, pour les raisons indiquées, pour contourner l'application de l'inspection HTTPS.

Tableau 1 - Applications pouvant utiliser l'épinglage de certificat

Tableau 2 - Détails pourServices ignorés globalement, comme indiqué dans le tableau 1

Pour obtenir de l'aide supplémentaire, consultez la rubrique Dépannage d'applications sans navigateur ou contactez l'assistance Umbrella. Les applications peuvent être considérées pour être ajoutées à notre liste de contournement globale après avoir été examinées par l'équipe d'ingénierie.