Informazioni sul blocco della chiave pubblica e del certificato in Umbrella

Introduzione

In questo documento viene descritto come aggiungere certificati e chiavi pubbliche in Cisco Umbrella.

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Le informazioni fornite in questo documento si basano su Cisco Umbrella.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Panoramica

L'associazione dei certificati è un meccanismo di sicurezza Internet che consente alle applicazioni di resistere alla rappresentazione nei server HTTPS utilizzando certificati digitali non rilasciati o comunque fraudolenti. A tale scopo, un server viene associato a un insieme definito di chiavi pubbliche, che possono essere le uniche attendibili per le connessioni a tale server. Esistono due tecniche per l'aggiunta di certificati:

• Il Pinning a chiave pubblica (PKP RFC7469) è un meccanismo obsoleto per l'attivazione del pinning dei certificati nei browser Web. I certificati aggiunti vengono inviati al browser utilizzando intestazioni HTTP.
• Il Pinning statico dei certificati è un'applicazione hardcoded che prevede certificati o autorità di certificazione specifiche. Alcune applicazioni desktop/mobili utilizzano un meccanismo statico di associazione dei certificati per una maggiore sicurezza.

Quando queste applicazioni Web vengono inoltrate da Umbrella, la chiave pubblica fornita da Umbrella non corrisponde, il che fa sì che l'applicazione chiuda la connessione HTTPS. Il blocco dei certificati viene in genere applicato solo alle applicazioni desktop/mobili, poiché il supporto PKP è stato rimosso dai browser Web più recenti.

Compatibilità con Umbrella SWG

Umbrella ignora gli URL noti dalla decrittografia SSL per risolvere i problemi di associazione dei certificati in determinate circostanze. La tabella 1 include le applicazioni che sono state ignorate globalmente per tutti i clienti Umbrella. La tabella 1 include anche altre applicazioni note per l'utilizzo dell'associazione dei certificati in fase di scrittura. Se si utilizza una di queste applicazioni, è possibile utilizzare i metodi descritti in seguito, per i motivi indicati, per evitare l'ispezione HTTPS. La tabella 2 fornisce ulteriori dettagli per i servizi dell'applicazione descritti nella tabella 1. 

Altre applicazioni di aggiunta certificati

Le applicazioni possono essere ignorate in base al cliente (per policy) per risolvere i problemi di blocco dei certificati utilizzando la funzionalità di decrittografia selettiva di Umbrella. Tali eccezioni possono essere facilmente implementate in base al dominio, al nome dell'applicazione o alla categoria; Umbrella SWG include una vasta libreria di applicazioni nel nostro database di app.

Nella maggior parte dei casi la decisione di ignorare l'applicazione spetta all'amministratore IT. L'aggiunta di un'eccezione Decrittografia rappresenta un compromesso in termini di protezione in quanto impedisce l'ispezione di file e protezione del contenuto Web. Si tratta di una decisione individuale a seconda del tipo di applicazione e delle esigenze aziendali. Ad esempio, se il problema di associazione del certificato riguarda solo un'applicazione per dispositivi mobili/desktop, l'amministratore può scegliere di aggiungere un'eccezione per far funzionare l'applicazione per dispositivi mobili oppure può preferire chiedere agli utenti di utilizzare la versione Web dell'applicazione.

Questa è una tabella di applicazioni che vengono ignorate a livello globale per i clienti Umbrella e non è richiesta alcuna azione o non è noto che utilizzi l'associazione certificato al momento della scrittura e non viene ignorata da Umbrella per impostazione predefinita. Se si utilizzano le applicazioni che non vengono ignorate per impostazione predefinita, è possibile utilizzare i metodi descritti in precedenza, per i motivi indicati, per ignorare l'applicazione dall'ispezione HTTPS.

Tabella 1 - Applicazioni che possono utilizzare il blocco dei certificati

Tabella 2 - Dettaglio perServizi ignorati a livello globale, come illustrato nella tabella 1

Per ulteriori informazioni, vedere Risoluzione dei problemi relativi alle applicazioni diverse dal browser o contattare il Supporto Umbrella. Le domande possono essere prese in considerazione per l'aggiunta all'elenco di bypass globale dopo essere state esaminate dal team di progettazione.