Google SSL सत्र सुरक्षा में सुधार करता है

एचटीटीपीएस सर्वरों पर भविष्य की गुप्त कुंजी हानि से बचाने के कार्य को कार्यान्वित करने के लिए Google एक बड़ी इंटरनेट कंपनियों में से एक था (एक ऐसा कार्य जिसे पूर्ण गोपनीयता या PFS कहा जाता है)। इसके लिए, एक ओपन-सोर्स ऐड - ऑन ओपनएसएसएल विकसित किया गया था , विशेष रूप से, अण्डाकार कर्व P-224, P-256 और P-521 पर एक तेज कुंजी जनरेटर लिखा गया था। काम के दौरान, Google विशेषज्ञों ने ओपनएसएसएल में कई बग भी तय किए।

पीएफएस का मतलब है कि भले ही एक गुप्त सर्वर कुंजी प्राप्त (हैक) की गई हो, एक हमलावर पहले से इंटरसेप्टेड और रिकॉर्ड किए गए एचटीटीपीएस ट्रैफिक को डिक्रिप्ट नहीं कर पाएगा। वास्तविक जीवन का उदाहरण: मान लीजिए कि प्रदाता स्तर पर कुछ संगठन आपके सभी HTTPS ट्रैफ़िक को संग्रहीत करता है, और यदि आवश्यक हो तो सर्वर पर एक गुप्त कुंजी प्राप्त करता है (या कई वर्षों के बाद कंप्यूटर के पास इसे एक सरल जानवर बल के साथ क्रैक करने के लिए पर्याप्त शक्ति होगी), उसके बाद जो समस्याओं के बिना सभी संचित पठन को पढ़ता है।

Google के मामले में, यह विकल्प काम नहीं करेगा। अब, अल्पकालिक ("अल्पकालिक") सत्र कुंजियों का उपयोग यहां किया जाता है, जिन्हें ECDHE योजना के अनुसार परिवर्तित किया जाता है (संक्षिप्त नाम ECDHE का अर्थ है " डिफिए-हेलमैन एपेथमल एल्गोरिथम का उपयोग एलिप्टिक कर्व्स के लिए)।" एक संचार सत्र के बाद, चाबियाँ नष्ट हो जाती हैं, और यहां तक ​​कि सर्वर का मालिक भी उस सत्र को डिक्रिप्ट नहीं कर पाएगा जिसे उसके सर्वर ने पिछली कुंजी के साथ एन्क्रिप्ट किया है।

मानक HTTPS योजना RSA, RC4 और SHA एल्गोरिदम का उपयोग करते हुए एक "हैंडशेक" मानती है, अर्थात, क्लाइंट (ब्राउज़र) सत्र के लिए एक यादृच्छिक कुंजी का चयन करता है, इसे सर्वर की सार्वजनिक कुंजी का उपयोग करके एन्क्रिप्ट करता है, इसे अपनी निजी कुंजी पर हस्ताक्षर करता है - और इसे सर्वर पर भेजता है। यह सत्र केवल सर्वर की निजी कुंजी और उपयोगकर्ता की सार्वजनिक कुंजी का उपयोग करके डिक्रिप्ट किया जा सकता है, इसलिए सत्र सुरक्षित माना जाता है।

स्कीमा में ECDHE जोड़ने का अर्थ है कि प्रत्येक सत्र के लिए सर्वर एक नई सार्वजनिक कुंजी उत्पन्न करता है और इसे अपनी निजी कुंजी के साथ हस्ताक्षरित करता है। इस प्रकार, सत्र न केवल सुरक्षित है, बल्कि सर्वर की गुप्त कुंजी के भविष्य के नुकसान से भी सुरक्षित है। सार्वजनिक कुंजी उत्पन्न करने के लिए, Google P-256 अण्डाकार वक्रों का उपयोग करता है, जिनमें से क्रिप्टोग्राफिक ताकत लगभग 3248-बिट RSA से मेल खाती है।

वर्तमान में, PFS को एक वैकल्पिक विशेषता माना जाता है और इसे शायद ही कभी HTTPS के विकल्प के रूप में उपयोग किया जाता है, और Google इसे डिफ़ॉल्ट रूप से लागू करने वाली पहली प्रमुख कंपनी थी। संपूर्ण फ़ॉरवर्ड सीक्रेसी सिस्टम सभी Google HTTPS सेवाओं (जैसे Gmail, Google+, Google डॉक्स, SSL खोज) में लागू किया गया है और यह क्रोम और फ़ायरफ़ॉक्स ब्राउज़र द्वारा समर्थित है। दुर्भाग्य से, IE ब्राउज़र अभी तक ECDHE और RC4 के संयोजन का समर्थन नहीं करता है।

आप यह सुनिश्चित कर सकते हैं कि ECDHE कुंजी विनिमय तंत्र का उपयोग किया जाता है, यदि Google के साथ एक सुरक्षित सत्र के दौरान, पता बार में SSL आइकन पर क्लिक करें।

चूंकि ओपनएसएसएल के लिए ऐड-ऑन ओपन-सोर्स है, अन्य वेब सेवाएं उसी एचटीटीपीएस अपग्रेड को लागू कर सकती हैं।

Google ऑनलाइन सुरक्षा ब्लॉग , एडम लैंगली के माध्यम से