“能力越大，责任越大。”这句话虽与伏尔泰和丘吉尔有关，但最广为人知的出处是《蜘蛛侠》漫画，通常被认为出自彼得·帕克的本叔叔之口。当然，这句话之所以广为流传，部分原因在于它适用于许多不同的情境和主题，其中也包括标题所指的TLS检查。
近日，美国国家安全局（NSA）发布了一份安全公告，旨在应对部署传输层安全检查（TLSI）可能带来的风险。该公告还为部署和使用TLSI产品的组织提供了缓解潜在安全弱点的方法。
TLSI简介：TLSI也称为TLS解密检查，是一种可让组织对使用TLS甚至安全套接字层（SSL）加密的网络流量进行解密和重新加密的过程。鉴于如今大多数攻击都隐藏在加密流量中，TLSI对组织而言至关重要。例如，根据最新的研究，目前超过90%的页面加载已使用SSL/TLS加密，71%的网络钓鱼网站使用加密证书。
目前，许多组织使用代理设备、防火墙、入侵检测系统（IDS）或入侵防御系统（IPS）等专用设备，对采用TLS加密的流量进行解密和重新加密。另一些组织仍让TLS加密流量依次通过安全技术栈中的多个设备，导致每台安全设备都必须执行解密和重新加密。整个TLSI流程有助于组织监控入站加密流量中的潜在威胁（如恶意软件），还可监控出站加密流量，发现数据外泄以及与恶意服务器之间的活跃命令与控制（C2）通信，防止其下载更多攻击工具。
但根据NSA的安全公告，TLSI的部署和使用方式也可能给组织带来严重风险。
NSA还在其公告中建议，在组织网络内只对TLS流量进行一次解密和检查。公告明确指出，不应由一台正向代理设备对TLS流量进行解密、检查和重新加密后，再将流量发送至另一台正向代理设备重复执行相同操作。此操作会扩大风险面，却不会带来任何额外收益。
如果组织部署或使用的TLSI产品无法正确验证TLS证书，TLS加密可能会被削弱，从而为中间人（MiTM）攻击留下可乘之机。
用于TLSI的正向代理设备若运行异常，可能导致解密后的流量被重新路由至未经授权的第三方设备，并造成敏感数据被盗或滥用。
根据NSA的安全公告，监控流向正向代理的网络流量有助于降低潜在的漏洞利用风险。此外，为确保TLSI正常运行，该公告建议对日志进行分析，以检测错误路由的流量，并帮助发现管理员有意或无意的滥用或误用行为。
此外，TLSI产品可能需要将多个TLS连接串联起来，这可能会降低加密保护强度，并可能导致攻击者利用安全性较弱的密码套件或TLS版本。某些TLSI产品可能仅在例外情况下允许使用安全性较弱的TLS版本和密码套件。
大多数TLSI正向代理设备都包含内部证书颁发机构（CA），用于创建和签署新证书。但是，内置CA可能被用于签署恶意代码，绕过入侵检测系统（IDS）和入侵防御系统（IPS）等安全机制，或用于部署冒充真实服务的恶意服务。美国国家安全局（NSA）的安全公告建议组织选择能够正确实施数据流、TLS和CA的产品。
另一个潜在攻击面是TLSI设备解密流量的位置，即流量发送至安全设备之前。此时流量为明文，容易受到攻击，攻击者可能借此获取用户凭据及其他敏感数据。
F5 SSL Orchestrator可确保加密流量经过解密、适当的安全控制检查和重新加密，从而提高加密流量的可见性，并降低隐蔽威胁带来的风险。SSL Orchestrator还可动态串联安全服务，并根据策略引导解密后的流量，将基于上下文的智能应用于加密流量，从而充分发挥现有安全投资的效用。此外，SSL Orchestrator可在组织的整个安全基础设施中集中管理和分发先进的加密技术，集中管理证书和密钥，同时提供强大的密码套件管理与控制功能。SSL Orchestrator可独立监控每项安全服务的运行状况。它还可确保安全解决方案高效运行，并借助F5的负载均衡和扩展能力，实现高可用扩展。此外，它还支持政府和行业严格、完善的安全与隐私标准。
NSA公告强调，应妥善完成TLS解密和检查，并且只执行一次。虽然从技术上看，下一代防火墙（NGFW）等一体化解决方案似乎可以实现这一理念，但在应对各种加密流量和吞吐量要求时，实际上并不实用。真正需要的，也是妥善完成一次TLS解密和检查的适宜方法，是将多个供应商的产品组成一套受到严密监控且安全互联的解决方案，并将其配置为仅执行一次解密、检查和重新加密。这样可以提高灵活性和韧性，也更切实可行。
借助F5 SSL Orchestrator，组织无需串联正向代理设备，也无需单独监控流量，甚至无需额外监控设备。由于采用全代理架构，系统会使用安全性更高的密码套件或加密方法。换言之，SSL Orchestrator可缓解NSA公告中提到的所有风险，同时帮助组织遵循责任与权力相匹配这一公认原则。
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。