Documentazione

Sapere che la tua configurazione TLS rispetta ancora le linee guida

Un certificato valido è metà di HTTPS. L’altra metà è come il server lo usa: quali versioni di TLS accetta, quali cifrari e scambi di chiavi offre, se risponde ancora a protocolli dismessi da anni. Niente di tutto questo si vede dal lucchetto del browser, e tutto cambia senza far rumore: un nuovo bilanciatore di carico con le sue impostazioni predefinite, un’immagine del server ricostruita da un modello più vecchio, un aggiornamento di una libreria che riattiva qualcosa.

Anche le linee guida cambiano. Una configurazione che rispettava l’edizione dell’anno scorso di una linea guida può non rispettare quella di quest’anno senza che sul server cambi nulla. Pingsured verifica la configurazione ogni giorno e ti avvisa quando non rispetta più la linea guida che hai scelto come riferimento.

Cosa esamina il test giornaliero

Una volta al giorno, da ciascuna località da cui viene eseguito un controllo TLS, Pingsured analizza la configurazione del server: le versioni di TLS che accetta, le suite di cifratura e i gruppi per lo scambio di chiavi che accetta di negoziare, la chiave e la firma del certificato, e se rifiuta un handshake con downgrade. Sulla porta 443 legge anche gli header che proteggono HTTPS: Strict-Transport-Security, il reindirizzamento dalla porta 80 e l’attributo Secure dei cookie.

Tutto ciò che trova viene elencato nel risultato del controllo, e la pagina dei rilievi TLS spiega ogni rilievo e come risolverlo sui server più diffusi.

La linea guida di riferimento

Scegli tu rispetto a quale linea guida pubblicata viene valutato un server. Il profilo intermediate di Mozilla, quello prodotto dalla maggior parte dei generatori di configurazione, è quello predefinito. Puoi aggiungere:

• BSI TR-02102-2 e TR-02103, le linee guida federali tedesche, che il settore pubblico tedesco richiede spesso ai propri fornitori;
• NIST SP 800-52, la linea guida federale statunitense;
• NCSC-NL, le linee guida del governo olandese, molto seguite nella sanità e nella finanza olandesi.

Ogni linea guida è fissata a un’edizione precisa, e ogni risultato registra l’edizione che lo ha valutato, così un risultato di oggi si può ancora leggere secondo le regole con cui è stato prodotto.

Quando vieni avvisato

Un rilievo rispetto a una linea guida scelta imposta lo stato del controllo: un avviso per impostazione predefinita, oppure un errore, oppure, se preferisci, solo una nota nel risultato. Quello stato ti raggiunge come qualsiasi altro, via email, nell’app o tramite webhook, attraverso le iscrizioni che lo includono. I rilievi al di fuori delle linee guida scelte vengono comunque registrati, ma non generano mai avvisi.

Quando il certificato cambia e la valutazione del server scende con esso, l’avviso di cambio certificato lo segnala.

La valutazione a lucchetti

Ogni risultato valuta la configurazione da uno a cinque lucchetti, così lo stato di un server si legge a colpo d’occhio:

La valutazione descrive la configurazione, non i giorni che restano al certificato, e sotto i cinque lucchetti il risultato nomina i rilievi che la limitano. Ogni località valuta ciò che ha visto, e il controllo mostra la valutazione più bassa.

Perché verificare la configurazione TLS con Pingsured

• Ogni giorno, non una volta all’anno. Una configurazione che peggiora viene scoperta il giorno dopo, non al prossimo penetration test.
• Rispetto alla linea guida su cui ti fanno domande. Lo stesso controllo risponde sia a «è abbastanza sicuro per i nostri clienti?» sia a «rispetta la linea guida del BSI citata nel nostro contratto?».
• Spiegato, non solo valutato. Ogni rilievo è documentato: quale linea guida lo conta, in base a quale clausola e come risolverlo.
• Da più località. I server dietro una CDN o un bilanciatore di carico possono differire da una regione all’altra; ogni località riporta la propria valutazione.
• Ospitato nell’UE, da un’azienda tedesca. I dettagli dei tuoi server restano in Germania e Finlandia.

Limiti da tenere presenti

• Il test della configurazione viene eseguito al massimo una volta al giorno per server e località, quindi una modifica compare il giorno dopo; scadenza e attendibilità del certificato vengono comunque verificate a ogni esecuzione.
• Alcuni requisiti non si vedono dall’esterno: la rinegoziazione avviata dal client, gli early data, gli schemi di firma di un handshake TLS 1.3 cifrato e tutto ciò che sta all’interno del server. Non vengono valutati, e un server non viene penalizzato per essi.
• Il controllo valuta un server rispetto a una linea guida. Non è una certificazione e non sostituisce un audit.