¿El certificado de cliente SSL / TLS "hash sobre todos los mensajes anteriores" paso hash todos los paquetes TCP o solo datos?

0

Tenemos que utiliza certificados de cliente TLS como mecanismo de autenticación entre el cliente y el servidor.

Hay un departamento de TI que quiere ejecutar esta aplicación a través de un dispositivo de firewall / proxy de algún tipo (la aplicación de cliente está en Internet, el servidor está detrás de su dispositivo de firewall / proxy) y aparentemente quieren modificar los encabezados TCP de alguna manera (no estoy seguro exactamente de lo que esto implica y no he podido averiguarlo).

El departamento de TI nos dice que están trabajando con otras aplicaciones que usan SSL o TLS, pero ninguna de estas aplicaciones está utilizando certificados de cliente.

En cualquier caso, la conexión segura está fallando. Por lo que puedo decir por la lectura de la documentación, el proceso de intercambio no es fundamentalmente diferente en cuanto a la presencia de certificados de clientes: la clave de cifrado simétrico se obtiene de la misma manera, etc.

Pero, una cosa que parece que podría fallar es el paso "hash sobre todos los mensajes anteriores", en el que el cliente genera un hash de todas las cosas anteriores que ha enviado al servidor, lo firma con el certificado privado del cliente-cert. clave, y lo envía al servidor.

Entonces, ¿este paso de "hash sobre todos los mensajes anteriores" incluye los encabezados TCP? Y por lo tanto, ¿este departamento de TI podría causar que falle al modificar los encabezados TCP?

Si no, ¿qué significa exactamente?

Gracias por tu tiempo

    
pregunta Orion Edwards 16.09.2014 - 05:18
fuente

1 respuesta

5

Es solo un hash sobre los mensajes TLS en sí, y no los datos TCP. Los datos TCP se modifican con frecuencia en ruta (piense en NAT, etc.), por lo que intentar hacer un hash sería inútil.

Sin saber más sobre cómo está fallando, es difícil decir cuál es la causa. Por ejemplo, si realizan SSL MITM, fallaría con los certificados de cliente, incluso si su certificado de servidor fuera aceptado. Otra posibilidad es que estén usando algún dispositivo de tipo IPS que descarte paquetes no reconocidos y no reconozca los mensajes de certificado del cliente.

Un PCAP de la sesión podría arrojar más luz.

    
respondido por el David 16.09.2014 - 06:09
fuente

Lea otras preguntas en las etiquetas