SSL-certificaat verificatie en whitelisting-regels

[thomasvang]

Beste Tweakers,

Ik ben werkzaam bij een bedrijf dat financiële opleidingen aanbiedt en de bijbehorende examens afneemt. Ten aanzien van het examineringsgedeelte, werken wij met een mobiele examenset.

Deze examenset bestaat uit een set laptops en een mobiele 4G router. Het betreft hier de Pepwave MAX HD4 (http://www.peplink.com/pr...outer/multi-cellular/#hd4). De 4G router is uitgerust met vier KPN 4G simkaarten. De router verdeelt het internet via Wifi over de laptops. Op die manier kunnen we examens aanroepen van het internet.

De router is zo ingesteld dat men alleen naar de websites kan die benodigd zijn voor het maken van examen (logisch, we willen niet dat men naar Google kan tijdens het maken van een examen).

We ervaren problemen bij het laden van een bepaald type examen. Het probleem is dat het examen (lees de website) eigenlijk gewoon niet laadt. De oorzaak hiervan is te herleiden naar de whitelisting-regels in de router. Zodra we de whitelisting regels uitschakelen werkt alles naar behoren.

Kenmerkend aan het ‘probleemexamen’ is dat de website vanwaar die wordt aangeroepen, is beveiligd met een SSL-certificaat van COMODO. Zodra we deze website willen aanroepen, wordt de geldigheid van het examen gecontroleerd en gaat de router (zo kunnen we zien via Wireshark) langs allerlei domeinen die deze controles uitvoeren (waaronder akamai, comodo en microsoft). Gelet op de whitelisting-regels, is het logisch dat deze controle niet kan worden uitgevoerd, met als gevolg dat de website of heel traag laadt of helemaal niet laadt.

NB We hebben de genoemde domeinen al gewhitelist maar volgens mij is dit niet erg toekomstvast omdat deze controles constant andere routes kiezen.

Mijn vraag is: hoe kan ik ervoor zorgen dat we via de instellingen in de router:
1) Het hele internet blokkeren
2) Behalve http://www.domeinnnaam.com en https://www.domeinnaam.com
3) Maar toch de SSL-certificaat verificatie doorlaten

De webadmin demo kan hier worden gevonden: http://maxdemo.peplink.com/cgi-bin/MANGA/index.cgi (user: admin, pass: admin)

Dit is een probleem dat al enige tijd speelt, maar niet direct een oplossing weten. Daarom hoop ik dat jullie nog iets zinnigs kunnen zeggen Ik zou er in ieder geval enorm mee geholpen zijn.

Alvast bedankt.

[spone]

In IE zit een optie waarmee de controle op ingetrokken certificaten kan worden uitgezet (OCSP). Dit is wat de vertraging bij certificaten meestal veroorzaakt.

edit: dit dus: http://windowsitpro.com/w...er-certificate-revocation

[ Voor 28% gewijzigd door spone op 17-09-2016 13:04 ]

[thomasvang]

Bedankt voor je reactie spone. Maar is dat wenselijk? In principe willen we toch die check houden?

[spone]

Klopt, die check wil je normaal gesproken wel aan hebben staan in een normale situatie. Maar de situatie is niet 'normaal', aangezien de servers die gespecificeerd zijn in het certificaat niet bereikt mogen worden.

Ik weet niet wat precies de mogelijkheden van je firewall zijn, maar misschien kan je expliciet de toegang tot de URL's gespecificeerd in het certificaat toestaan (CRL/OCSP, dus bijvoorbeeld in geval van het certificaat van tweakers.net: http://ocsp.int-x3.letsencrypt.org/ ).

Samengevat: als je wil dat het snel werkt moet je of de check uitzetten, of zorgen dat de client de check kan/mag doen.

[thomasvang]

Dank je. En stel dat het certificaat verloopt en die vinkjes staan uit. Wat gebeurt er dan?

[jeroen3]

Ik gok dit:
.
Verlopen is namelijk verlopen. (gebeurt ook als de tijd incorrect is)

Maar ze zouden toch niet mogen verlopen. Want dan werkt het normaal ook niet meer, toch?
Hij mag niet controleren of ze ondertussen zijn ingetrokken.

[thomasvang]

Aha, en als er tussendoor een ander certificaat in de plaats komt, dan wordt de check ook niet verricht?

Moet ik dat hele certificaat gebeuren gewoon zien als een maatregel die door de client vrijblijvend gecheckt kan worden? En als je dat niet wilt, het ook prima is?

[Peetz0r]

thomasvang schreef op maandag 19 september 2016 @ 16:38:
Aha, en als er tussendoor een ander certificaat in de plaats komt, dan wordt de check ook niet verricht?

Moet ik dat hele certificaat gebeuren gewoon zien als een maatregel die door de client vrijblijvend gecheckt kan worden? En als je dat niet wilt, het ook prima is?

Als je deze checks overslaat is het iets minder veilig, maar nog veilig genoeg. De basisfuncties van het certificaat blijven gewoon werken, want die zijn by design geheel offline.

Het enige dat je mist, is de beveiliging tegen de situatie waarin het certificaat wordt ingetrokken, en vervolgens alsnog wordt misbruikt door een kwaadwillend iemand. Maar dit is een beveiliging die bij al je andere examens dus lijkt te ontbreken.

tl;dr dit examen is normaal gesproken iets veiliger dan de rest. Door het uitzetten van deze controle verlaag je de veiligheid naar het (nog steeds redelijke) niveau van al je andere examens.

[ Voor 27% gewijzigd door Peetz0r op 19-09-2016 18:22 ]