Instagram je usvojio nesvakidašnji pristup web sigurnosti uvođenjem svakodnevnog obrtaja TLS certifikata koji imaju period važenja od samo jedne sedmice, prema nedavnoj tehničkoj analizi. Ova praksa predstavlja značajan odmak od industrijskih standarda, gdje certifikati obično ostaju važeći 90 dana ili duže, sugerirajući strateški pomak ka poboljšanim sigurnosnim protokolima od strane Meta-ine platforme za dijeljenje fotografija.
Ključni zaključci:
Instagram mijenja TLS certifikate svakodnevno umjesto standardnih perioda od 90+ dana, koristeći certifikate sa periodom važenja od samo oko 8 dana. Promjene certifikata se dešavaju precizno između 16:00-17:00 UTC svakodnevno putem automatizovanih sistema. instagram.com i www.instagram.com dobijaju individualne certifikate uprkos mogućnosti korištenja wildcard certifikata. Ultra-kratki životni vijek možda značajno ne poboljšava sigurnost ako privatni ključevi ostanu centralno pohranjeni.
Strategija svakodnevnog obrtaja certifikata:
Istraživanje, provedeno kroz automatizovano praćenje certifikata tokom nekoliko sedmica, otkrilo je da Instagram primjenjuje certifikate sa preostalih otprilike 8 dana do isteka i zamjenjuje ih svakodnevno kada preostane oko 7 dana važenja. Ovo stvara efikasan ciklus obrtaja “1 certifikat dnevno” koji djeluje s izuzetnom preciznošću. Implementacija certifikata se dosljedno odvija između 16:00 i 17:00 UTC, specifično oko 25-30 minute unutar tog vremenskog okvira. Prema izvještaju Hereketa, i instagram.com i www.instagram.com dobijaju odvojene certifikate, uprkos tome što glavni domen koristi wildcard certifikate (*.instagram.com) koji bi teoretski mogli osigurati poddomene. DigiCert SHA2 High Assurance Server CA izdaje certifikate i koristi SHA256 algoritme potpisivanja. Podaci o certifikatima ekstrahovani tokom perioda praćenja otkrili su dosljedne obrasce u serijskim brojevima i SHA-1 heševima, pri čemu svaki certifikat održava standardni X.509 format. Certifikati uključuju sveobuhvatna alternativna imena subjekta (SANs) koja pokrivaju razne Instagram domene, uključujući *.cdninstagram.com, *.igsonar.com, cdninstagram.com, igsonar.com, te primarni instagram.com domen.
Sigurnosne implikacije:
Ovaj pristup ultra-kratkog životnog vijeka certifikata predstavlja potencijalni paradigmski pomak u arhitekturi TLS sigurnosti. Tradicionalno upravljanje certifikatima se oslanja na duže periode važenja kako bi se postigla ravnoteža između sigurnosti i operativne efikasnosti, ali Instagram-ova strategija izgleda daje prioritet smanjenju prozora ranjivosti u slučaju kompromitovanja privatnih ključeva. Strategija svakodnevnog obrtaja teoretski smanjuje utjecaj potencijalnog kompromitovanja ključeva, jer bi ukradeni certifikati imali ograničenu korisnost zbog svog kratkog preostalog važenja. Međutim, sigurnosni stručnjaci napominju da ovaj pristup možda značajno ne poboljšava sigurnost ako su privatni ključevi pohranjeni na centraliziranim lokacijama, jer bi napadač koji stekne pristup trenutnim ključevima vjerovatno imao pristup cjelokupnoj infrastrukturi za upravljanje ključevima. Implementacija sugerira da je Instagram razvio sofisticirane automatizovane sisteme sposobne za besprijekornu primjenu certifikata bez prekida usluge.
