Confidence - (25-26.05 2010 Krakow)
Język: polski | english

Chris Palmer

Chris Palmer jest inżynierem bezpieczeństwa oprogramowania zaangażowanym w tworzenie bezpieczniejszego, bardziej użytecznego i bardziej wydajnego oprogramowania internetowego. Obecnie pracuje jako konsultant techniczny w iSEC Partners, a wcześniej pracował jako Staff Technologist w Electronic Frontier Foundation.

Temat prezentacji: Słabości polityki bezpieczeństwa PKI/SSL przeglądarki internetowej i potencjalne rozwiązania

Język prezentacji: Angielski

Abstrakt: SSL PKI realizowane obecnie w przeglądarkach internetowych ma tą własności, że każdy z N zaufanych organizacji CA może zaświadczyć każdy TLS punktu końcowego. W ubiegłym roku spotkałem się z conajmniej trzema nagłośnionymi przypadkami, w których praktyki CA lub interakcje CA z innymi systemami, pozostawiały przeglądarki podatne na praktyczne ataki man-in-the-middle ze względu na słabość tylko 1 z N CA. Proponujemy przezwyciężyć problem PKI poprzez zmianę TLS algorytmu weryfikacji certyfikatu do korzystania z większej ilości źródeł informacji o wiarygodności certyfikatu. Rozwiązanie to znacznie poprawi interfejs zaufania użytkownika przeglądarki przy jednoczesnym zmniejszaniu się liczby fałszywie pozytywnych (mylące ostrzeżenia o certyfikatach, które są faktycznie poprawne) i fałszywie negatywnych (komunikaty, aby ostrzec użytkownika o ataku man-in-the-middle) informacji.