Entender a Fixação de Chave Pública e a Fixação de Certificado no Umbrella

Introdução

Este documento descreve a fixação de certificado e a fixação de chave pública no Cisco Umbrella.

Pré-requisitos

Requisitos

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações neste documento são baseadas no Cisco Umbrella.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Overview

A fixação de certificado é um mecanismo de segurança da Internet que permite que os aplicativos resistam à representação contra servidores HTTPS usando certificados digitais emitidos incorretamente ou de outra forma fraudulentos. Ele faz isso associando um servidor a um conjunto definido de chaves públicas, que podem ser as únicas confiáveis para conexões com esse servidor. Há duas técnicas para a Fixação de Certificado:

• A Fixação de Chave Pública (PKP RFC7469) é um mecanismo agora obsoleto para acionar a fixação de certificado em navegadores da Web. Os certificados fixados são enviados para o navegador usando cabeçalhos HTTP.
• A Fixação de Certificado Estático é onde um aplicativo é codificado para esperar certificados específicos ou autoridades de certificado. Alguns aplicativos móveis/de desktop usam um mecanismo de fixação de certificado estático para segurança adicional.

Quando esses aplicativos da Web são intermediados por proxy pelo Umbrella, a chave pública fornecida pelo Umbrella não corresponde, o que faz com que o aplicativo feche a conexão HTTPS. A fixação de certificado geralmente se aplica apenas a aplicativos móveis/desktop, pois o suporte a PKP foi removido por navegadores da Web modernos.

Compatibilidade com o Umbrella SWG

O Umbrella ignora URLs conhecidas da Descriptografia SSL para resolver problemas de fixação de certificado em determinadas circunstâncias. A Tabela 1 inclui aplicativos que foram ignorados globalmente para todos os clientes do Umbrella. A Tabela 1 também inclui outros aplicativos que costumavam usar a fixação de certificado no momento da gravação. Se você estiver usando qualquer um desses aplicativos, poderá usar os métodos descritos posteriormente, pelos motivos apresentados, para ignorar o aplicativo da inspeção HTTPS. A Tabela 2 fornece mais detalhes para os serviços de aplicativos cobertos na Tabela 1. 

Outros Aplicativos de Fixação de Certificado

Os aplicativos podem ser ignorados em uma base por cliente (por política) para resolver problemas de fixação de certificado usando o recurso decodificação seletiva do Umbrella. Estas exceções podem ser facilmente implementadas com base no domínio, no nome do aplicativo ou na categoria; O Umbrella SWG inclui uma grande biblioteca de aplicativos em nosso banco de dados de aplicativos.

Na maioria dos casos, a decisão de ignorar ou não o aplicativo é do administrador de TI. Adicionar uma exceção de descriptografia é uma compensação de segurança porque impede a inspeção de segurança/arquivo do conteúdo da Web. Essa é uma decisão individual, dependendo do tipo de aplicativo e da necessidade comercial. Por exemplo, se o problema de fixação do certificado afetar apenas um aplicativo móvel/desktop, o administrador pode optar por adicionar uma exceção para fazer o aplicativo móvel funcionar ou pode preferir pedir que os usuários usem a versão da Web do aplicativo.

Esta é uma tabela de aplicativos que são ignorados globalmente para clientes Umbrella e nenhuma ação é necessária ou conhecida para usar a fixação de certificado no momento da escrita e não ignorada pelo Umbrella por padrão. Se você estiver usando os aplicativos que não são ignorados por padrão, considere usar os métodos descritos acima, pelos motivos fornecidos, para ignorar o aplicativo da inspeção HTTPS.

Tabela 1 - Aplicativos que podem usar fixação de certificado

Tabela 2 - Detalhes paraServiços ignorados globalmente como mostrado na tabela 1

Para obter ajuda adicional, consulte Solução de problemas de aplicativos que não são navegadores ou entre em contato com o suporte Umbrella. Os pedidos podem ser considerados para adição à nossa lista global de desvio depois de terem sido revisados pela equipe de Engenharia.