[发明专利]用于证书过滤的方法和系统

说明书

SSL/TLS证书过滤设备(112、114、116、118)、系统和过程可以基于与每个分组相关联的风险来过滤分组。可以基于相关联的威胁和风险针对每个分组确定风险评分。可以基于与每个分组相关联的证书、证书认证机构和/或最终用户来确定风险评分。可以按威胁和风险对证书进行评分和/或分类。

相关申请的交叉引用

本申请要求于2019年3月5日提交的美国正式专利申请序列第16/293,087号的优先权，其全部内容通过引用明确地并入本文。

技术领域

本文描述的方面总体涉及计算机硬件和软件以及网络安全性。特别地，本公开的一个或更多个方面总体涉及用于基于证书、证书认证机构和与分组相关联的最终用户过滤通信的计算机硬件和软件。

背景技术

随着信息时代的不断发展，网络安全变得越来越重要。连接可以通过加密数据来保护，以防止数据暴露给第三方。在传输控制协议/互联网协议(TCP/IP)网络中，可以通过使用传输层安全性(TLS)协议或通过使用TLS的前身安全套接字层(SSL)协议来保护端点之间的传输中通信。TLS提供了隐私、身份验证和通信的完整性。TLS通过使用X.509证书来保护通信。这些X.509证书通常由证书认证机构(CA)组织颁发。通常，TLS用于保护客户端-服务器通信，其中服务器提供可用于安全地建立会话密钥的证书。客户端和服务器使用会话密钥来加密和解密通过TLS隧道发送的数据。例如，通常用于保护Web通信的超文本传输协议安全(HTTPS)协议由通过TLS或SSL加密的超文本传输协议(HTTP)通信组成。还有其他使用X.509证书来保护通信的协议，诸如数据报传输层安全性(DTLS)、快速UDP互联网连接(QUIC)和超文本传输协议版本3(HTTP/3)草案，并且这些协议可以由各种应用使用，包括网络浏览器和服务器、虚拟专用网络(VPN)软件以及软件打包和交付系统。

关于SSL/TLS协议本身的安全风险，由于已知的安全漏洞，标准组织(例如，IETF)已弃用旧版本的协议，诸如SSL v2、SSL v3和TLS 1.0。TLS的较新版本的已知安全漏洞较少。但是仍然存在许多与SSL/TLS使用相关的安全风险，可能被恶意主体利用。许多这些风险源于对人类正确管理SSL/TLS使用和相关证书的依赖。例如，网站管理员可能无法跟上保护证书的版本更新和安全补丁；CA组织可能会失陷，因此他们颁发的证书可能会泄露；HTTPS端点和相关应用(例如，网络浏览器)可能未完全采用与证书相关的安全风险降低措施；人类最终用户可能会从事风险行为，诸如无视与证书相关的安全风险警告；等等。如下所述，本公开提供了减轻这些与证书相关的安全风险以提高SSL/TLS通信的安全性的方法。

目前，可以通过网络浏览器或端点托管的其他应用程序来分析证书和证书认证机构(CA)的某些安全风险，从而可以采取措施降低风险；然而，通常不会分析与最终用户行为相关的风险。最终用户可以指操作使用SSL/TLS通信的端点托管应用程序(例如，网络浏览器)的实体，并且可以通过端点地址、统一资源名称(URN)、目录名称等(例如，经由轻量级目录访问协议(LDAP))进行识别。最终用户还可以通过与该用户或端点相关联的用户或端点证书来识别。

浏览器通常使用简单的二元量表来衡量证书风险。即，证书被认为是无风险的或无效的。无风险与颁发CA相关联。准确地说，默认情况下，浏览器认为大多数CA是值得信赖的/无风险的。此外，当浏览器无法验证证书时，它们可能会警告人类用户存在安全问题，但随后仍会为人类用户提供继续进行通信的选项。尽管向用户表明了风险，但用户经常选择继续会话。这个过程实际上抵消了安全分析的任何有益效果。这些类型的最终用户的行为风险通常不会被浏览器或代理识别和收集，因此未被应用于进一步保护网络。

更糟糕的是，网络浏览器，尤其是移动浏览器，通常不执行一些基本的安全操作，诸如检查证书的撤销或过期状态，和/或不强制实施安全策略。这些有风险的浏览器和人类行为对于对抗性实体来说是众所周知的，并且很容易被利用。因此，与许多其他类型的网络攻击一样，社交工程是一种有效的攻击媒介。网络犯罪分子通常会迅速采取行动来利用这些安全漏洞。

发明内容