# TLS bilimlarini amalda sinash — audit va CTF > Bu darsda o'rganilganlar ishga tushiriladi. Real vazifalar, real tekshiruv buyruqlari, real CTF topshirig'i — hammasi shu yerda. ## 🔄 Eslab ko'ring (oldingi darsdan) > Oldingi darsda Forward Secrecy va HSTS ni ko'rdik. HSTS brauzerga nima deydi va qaysi hujumdan himoya qiladi? Eslab ko'ring, keyin davom eting. ## 🔍 Darsdan oldin bir daqiqa > **O'ylab ko'ring:** Agar qo'lingizda bir saytning TLS konfiguratsiyasi fayli bo'lsa, undagi xatoni qanday topasiz — qo'lda har qatorni o'qiysizmi yoki birorta vosita bormi? > _(Bu savolga dars davomida javob topasiz.)_ ## 🎯 Bu darsdan keyin siz - Biror saytning TLS auditini mustaqil o'tkaza olasiz - Nginx konfiguratsiyasidagi TLS xatolarini topa olasiz va tuzata olasiz - `openssl`, `sslscan`, `nmap` bilan amaliy vazifalar bajara olasiz - CTF (Capture The Flag) topshirig'ini yechish mantig'ini tushunasiz *[CTF]: Capture The Flag — bayroq qo'lga kiritish musobaqasi *[ASCII]: American Standard Code for Information Interchange — belgilarni raqamga moslovchi standart --- Bu darsdagi to'rt amaliy vazifa va CTF qanday ketma-ketlikda bajarilishini ko'rsak: ```mermaid flowchart LR V1["Vazifa 1
Audit"] --> V2["Vazifa 2
Zaif konfig topish"] V2 --> V3["Vazifa 3
Nginx xatolarini tuzatish"] V3 --> V4["Vazifa 4
Wireshark tahlili"] V4 --> CTF["CTF
Flag yig'ish"] ``` --- ## Vazifa 1 — Saytlarni TLS audit qilish 🌍 Uy egasi har yili uyini tekshiradi: qulf ishlayaptimi, eshik mustahkammi, suv o'tmaydimi. Biz ham serverlarni vaqti-vaqti bilan shu tarzda tekshiramiz. 📖 **TLS audit** — serverning TLS konfiguratsiyasini tekshirib, zaiflik va muammolarni aniqlash jarayoni. Bu profilaktik tekshiruv — hujum bo'lishidan oldin muammo topiladi. 🛡️ Muntazam TLS audit server xavfsizligini ta'minlaydi. Sertifikat muddati tugab qolish, eski protokol qolib ketish, zaif cipher ishlatib ketish — bularning barchasi audit orqali aniqlanadi. 🔎 Quyidagi skriptni bajaring: ```bash title="audit_tls.sh" # Sayt TLS auditini bajaradigan funksiya audit_tls() { local domain=$1 echo "=======================================" echo "AUDIT: $domain" echo "=======================================" # TLS versiyasi va tanlangan cipher echo "--- TLS Versiya va Cipher ---" echo | openssl s_client -connect "$domain:443" 2>/dev/null | \ grep -E "Protocol|Cipher" # Sertifikat ma'lumotlari — kim bergan, qachon tugaydi echo "--- Sertifikat ---" echo | openssl s_client -connect "$domain:443" 2>/dev/null | \ openssl x509 -noout -subject -issuer -dates # HSTS header bori yo'qligi echo "--- HSTS ---" curl -sI "https://$domain" | grep -i "strict-transport" [ $? -ne 0 ] && echo "HSTS YO'Q — xavfli!" # Sertifikat 30 kun ichida tugaydimi? echo "--- Muddat tekshiruvi ---" echo | openssl s_client -connect "$domain:443" 2>/dev/null | \ openssl x509 -noout -checkend 2592000 # 2592000 soniya = 30 kun # Natija: "Certificate will not expire" yoki "Certificate will expire" echo "" } # Uchta saytni tekshiring: audit_tls "google.com" audit_tls "github.com" audit_tls "wikipedia.org" ``` Har sayt uchun yozing: TLS versiyasi qanday? HSTS bori yo'qligi? Sertifikat qachon tugaydi? !!! tip "Audit nimaga qaraydi?" To'rt nuqta: (1) protokol versiyasi zamonaviymi, (2) cipher kuchlimi, (3) sertifikat ishonchli CA dan va muddati tugamaganmi, (4) HSTS yoqilganmi. Shu to'rttasi — har TLS auditining yadrosi. --- ## Vazifa 2 — Zaif TLS konfiguratsiyani aniqlash ```bash title="vazifa2_skanerlash.sh" # --- SSLSCAN bilan to'liq tekshiruv --- sudo apt install sslscan -y # Tekshirish va natijani saqlash sslscan --no-colour target.com > audit_result.txt # Zaif protokollarni topish echo "=== ZAIF PROTOKOLLAR ===" grep -iE "SSLv2|SSLv3|TLSv1\.0 |TLSv1\.1 " audit_result.txt # Zaif cipherlarni topish echo "=== ZAIF CIPHERLAR ===" grep -iE "RC4|3DES|NULL|EXPORT" audit_result.txt # Heartbleed tekshiruvi echo "=== HEARTBLEED ===" nmap --script ssl-heartbleed -p 443 target.com 2>/dev/null | grep -A3 "ssl-heartbleed" # --- TESTSSL.SH bilan faqat yuqori xavflilarni --- ./testssl.sh --severity HIGH target.com # severity HIGH = faqat muhim zaifliklar chiqadi, shovqin kamlashadi ``` ``` # So'z diagrammasi: audit natijasini o'qish sslscan natijasi → qizil qatorlar → xavfli narsa topildi → yashil qatorlar → xavfsiz Nmap natijasi → "VULNERABLE" → darhol tuzatish kerak → "NOT VULNERABLE" → xavfsiz testssl.sh → "HIGH" → muhim zaiflik → "MEDIUM" → e'tibor bering → "INFO" → ma'lumot ``` !!! warning "False positive — yolg'on ogohlantirish" Skaner "zaif" deganining hammasi haqiqiy xavf emas. Masalan, server eski klientlar uchun ataylab bitta eski cipher qoldirgan bo'lishi mumkin. Topilgan natijani har doim qo'lda tasdiqlang, keyin xulosa chiqaring. --- ## Vazifa 3 — Nginx konfiguratsiyasidagi xatolarni toping 🌍 Dizayner rasm yaratdi. Keyin mutaxassis uni ko'rib, "bu joyda rang noto'g'ri, bu chiziq qiya" deydi. Konfiguratsiyada ham xuddi shunday ko'z kerak. Quyidagi Nginx konfiguratsiyasida **5 ta xato** bor. Har xatoni toping va nima xavfli ekanini tushuntiring: ```nginx title="vuln-site.conf (zaif — xatolarni toping)" # ZAIF KONFIGURATSIYA — xatolarni toping! server { listen 443 ssl; server_name vuln-site.com; ssl_certificate /etc/ssl/server.crt; ssl_certificate_key /etc/ssl/server.key; # Xato 1: ??? ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2 TLSv1.3; # Xato 2: ??? ssl_ciphers ALL:!aNULL; # Xato 3: HSTS yo'q # Xato 4: ??? ssl_session_tickets on; # Xato 5: OCSP Stapling yo'q } ```

Xatolar va tuzatishlarni ko'rish

**Xato 1:** `SSLv3 TLSv1 TLSv1.1` qo'shilgan — POODLE, BEAST zaifliklariga eshik ochiq. Tuzatish: `ssl_protocols TLSv1.2 TLSv1.3;` **Xato 2:** `ALL` — RC4, 3DES, NULL kabi zaif cipherlar ham ruxsat berilgan. Tuzatish: faqat ECDHE + AEAD cipher suitlar. **Xato 3:** HSTS yo'q — SSL stripping hujumidan himoya yo'q. Tuzatish: `add_header Strict-Transport-Security "max-age=31536000" always;` **Xato 4:** `ssl_session_tickets on` — Forward Secrecy zaiflashadi. Tuzatish: `ssl_session_tickets off;` **Xato 5:** OCSP Stapling yo'q — sertifikat tekshiruvi sekinroq va maxfiylik zaifroq. Tuzatish: `ssl_stapling on; ssl_stapling_verify on;`

**Tuzatilgan versiya:** ```nginx title="vuln-site.conf (tuzatilgan)" server { listen 443 ssl http2; server_name vuln-site.com; ssl_certificate /etc/ssl/fullchain.crt; ssl_certificate_key /etc/ssl/server.key; # Tuzatish 1: Faqat xavfsiz protokollar ssl_protocols TLSv1.2 TLSv1.3; # Tuzatish 2: Faqat kuchli cipherlar (ECDHE + AEAD) ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305'; ssl_prefer_server_ciphers on; # Tuzatish 3: HSTS — SSL stripping dan himoya add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; # Tuzatish 4: Session tickets o'chiring — PFS saqlash uchun ssl_session_tickets off; ssl_session_timeout 1d; ssl_session_cache shared:SSL:50m; # Tuzatish 5: OCSP Stapling ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8 8.8.4.4 valid=300s; } ``` !!! example "Zaifdan tuzatilganga — xulosa" Diqqat qiling: tuzatish odatda olib tashlash (eski protokol, zaif cipher) yoki bitta qator qo'shish (HSTS, OCSP). Murakkab emas — lekin har biri aniq bir hujumni yopadi. --- ## Vazifa 4 — Wireshark bilan TLS trafikni ko'rish 🌍 Tasavvur qiling: tarmoq — shaffof quvur. Wireshark — shu quvur ichidan o'tayotgan har paketni ko'rsatuvchi mikroskop. TLS bo'lsa, paket ichi shifrlangan — siz "konvert bor"ligini ko'rasiz, lekin ichini emas. ```bash title="wireshark_tls.sh" # --- TLS trafikni ushlash --- # Terminalda: tcpdump -i eth0 -w tls_capture.pcap port 443 # Boshqa terminalda: curl https://example.com # Birinchi terminalda Ctrl+C bosing # Wireshark da oching: tls_capture.pcap # Filtr: tls # Ko'rinadi: Client Hello, Server Hello, Certificate # Ma'lumotlar shifrlanganini ko'ra olasiz — lekin ICHINI emas # --- TLS DESHIFRLASH (faqat test muhitda) --- # Brauzerga kalit faylini yozishni buyuring export SSLKEYLOGFILE=/tmp/tls_keys.log curl -v https://example.com # Wireshark da: # Edit -> Preferences -> Protocols -> TLS # (Pre)-Master-Secret log filename: /tmp/tls_keys.log # Endi shifrlangan trafik ham ochiq ko'rinadi ``` !!! warning "Eslatma" `SSLKEYLOGFILE` faqat o'z qurilmangizda va o'zingizning trafikingizga ishlatiladi. Bu usul birovning trafikiga ishlatilsa — noqonuniy. Wireshark da tipik TLS ulanish quyidagicha ko'rinadi: ```mermaid sequenceDiagram participant C as Client (siz) participant S as Server C->>S: TCP SYN (ulanish boshlandi) S-->>C: TCP SYN-ACK C->>S: Client Hello (ochiq ko'rinadi) S-->>C: Server Hello + Certificate (ochiq ko'rinadi) Note over C,S: Bundan keyin: Application Data (shifrlangan) ``` --- ## CTF Challenge — TLS Inspector 🌍 Tajribali qulfchi qulfga qarab uning zaifligini biladi — hech qanday maxsus asbobsiz. CTF topshirig'i ham shunday: ko'rsatilgan TLS ma'lumotlardan nima yashiringanini topasiz. 📖 **CTF (Capture The Flag — bayroq qo'lga kiritish)** — xavfsizlik bo'yicha musobaqa formati. Har topshiriqda maxfiy matn (flag) yashiringan. Uni topish uchun texnik bilimlar qo'llaniladi. 🛡️ CTF topshiriqlari real hujum texnikalarini xavfsiz muhitda o'rganish imkonini beradi. 🔎 Vazifa: quyidagi ma'lumotlardan flagni toping. Bosqichlar: ```mermaid flowchart TD Q1["1-qadam: eng zaif protokol"] --> Q2["2-qadam: zaif cipher tahlili"] Q2 --> Q3["3-qadam: sertifikat serial (hex)"] Q3 --> Q4["4-qadam: flagni yig'ish"] ``` **1-qadam: Protokol tahlili** Server quyidagi protokollarni qo'llab-quvvatlaydi: ```text title="server_protokollari.txt" SSLv3 yoqilgan <- eng zaif TLS 1.0 yoqilgan TLS 1.1 yoqilgan TLS 1.2 yoqilgan TLS 1.3 o'chirilgan ``` Savol: eng zaif protokol nomidagi raqamni ASCII hex ga aylantiring: ```bash title="qadam1.sh" # SSLv3 -> "3" raqami printf '%02x\n' "'3" # Natija: 33 ``` **2-qadam: Cipher suite tahlili** Server preferred cipher: ```text title="server_cipher.txt" TLS_RSA_WITH_3DES_EDE_CBC_SHA ``` 3DES + CBC kombinatsiyasi qaysi zaiflikka moyil? Zaiflik nomining so'nggi 2 raqamini toping: ```text title="qadam2.txt" SWEET32 -> 32 ``` **3-qadam: Sertifikat serial raqami** ```text title="sertifikat_serial.txt" Serial: 0x544C535F6861636B ``` Hex ni ASCII ga aylantiring: ```bash title="qadam3.sh" echo "544C535F6861636B" | xxd -r -p # Natija: TLS_hack ``` **4-qadam: Flagni yig'ing** 3-qadamdagi natijadan flag formatlang: `HN{...}` ```bash title="qadam4.sh" # Maslahat: CyberChef (gchq.github.io/CyberChef) da # "From Hex" operatsiyasini ishlating echo "544C535F6861636B" | xxd -r -p # yoki: echo -n "544C535F6861636B" | python3 -c " import sys, binascii print(binascii.unhexlify(sys.stdin.read().strip()).decode()) " ``` **Flag formati:** `HN{XXXX_XXXX}` !!! tip "CTF mantig'i" Har qadam bitta texnik bilimni tekshiradi: zaif protokol nima, zaif cipher nima, hex/ASCII konversiya. Flag — shu bilimlarni ketma-ket qo'llashning natijasi. Maqsad — yodlash emas, **tahlil zanjiri** qurish. --- ## 🗺️ Modul 5 — Orqaga nazar Kriptografiya asoslari moduli to'rt sinfdan iborat edi. Quyidagi tushuncha xaritasi nimalarni o'rganganimizni bog'laydi: ```mermaid mindmap root(("Modul 5
Kriptografiya asoslari")) Sinf1["Sinf 1: Shifrlash asoslari"] AES["AES-GCM — simmetrik"] RSA["RSA — asimmetrik"] SHA["SHA-256 — xeshlash"] DH["Diffie-Hellman — kalit almashinuv"] Sinf2["Sinf 2: PKI va sertifikatlar"] X509["X.509 — sertifikat standarti"] CA["CA — ishonch markazi"] LE["Let's Encrypt — bepul sertifikat"] Sinf3["Sinf 3: Parol buzish"] Tools["Hashcat, John"] Hash["bcrypt, Argon2id"] MFA["MFA — ikki faktor"] Sinf4["Sinf 4: TLS / HTTPS"] TLS13["TLS 1.3 — eng xavfsiz"] HS["Handshake"] Vuln["Heartbleed, POODLE, BEAST"] Hard["Nginx hardening (A+)"] ``` ``` # So'z diagrammasi: Kriptografiya asoslari moduli — nimalar o'rgandik Sinf 1: Shifrlash Asoslari ├─ AES-GCM: simmetrik shifrlash ├─ RSA: asimmetrik shifrlash ├─ SHA-256: xeshlash └─ Diffie-Hellman: kalit almashinuv Sinf 2: PKI va Sertifikatlar ├─ X.509: sertifikat standarti ├─ CA: ishonch markazi ├─ Let's Encrypt: bepul sertifikat └─ OCSP: sertifikat amal qilishini tekshirish Sinf 3: Parol Buzish ├─ Hashcat, John: parol buzish vositalari ├─ bcrypt, Argon2id: kuchli parol xeshlash └─ MFA: ikki faktorli autentifikatsiya Sinf 4: TLS / HTTPS (bu sinf) ├─ TLS 1.3: eng xavfsiz versiya ├─ Handshake: ulanish o'rnatish ├─ Heartbleed, POODLE, BEAST: zaifliklar └─ Nginx hardening: A+ konfiguratsiya ``` Bu to'rtta soha bir-biri bilan bog'liq. Shifrlash kalitlari (Sinf 1) sertifikatga kiradi (Sinf 2). Parollar TLS orqali himoyalanib uzatiladi (Sinf 4). TLS zaifliklari parollarni xavfga qo'yadi (Sinf 3 bilan bog'liq). --- ## ⚠️ Keng tarqalgan xatolar | Noto'g'ri tushuncha | Haqiqat | |---|---| | "testssl.sh faqat professional uchun" | testssl.sh oddiy buyruq — bir marta o'rnatilsa, istalgan darajadagi odam ishlatishi mumkin. | | "SSL Labs A+ = server buzilmaydi" | A+ to'g'ri TLS konfiguratsiyani bildiradi. Lekin ilovadagi zaifliklar (SQL injection, XSS) TLS ga bog'liq emas — ular alohida tekshiriladi. | | "CTF va real hayot bir xil" | CTF o'rgatish uchun soddalashtirilgan. Real pentesting — rozilik olish, hisobot yozish, yuridik javobgarlik. | ## ✅ Tez tekshiruv — bilasizmi? **Savol:** Nginx konfiguratsiyasida `ssl_session_tickets on` nima muammo tug'diradi?

Javobni ko'rish

Session tickets Forward Secrecy ni zaiflashtiradi. Ticket kaliti serverda saqlanadi. Agar bu kalit o'g'irlansa, hujumchi shu kalit bilan shifrlangan barcha sessiyalarni deshifrlashi mumkin. `ssl_session_tickets off` qo'yilsa, har sessiya o'z vaqtinchalik kalitini ishlatadi — bu kalit sessiya tugagach yo'q qilinadi.

## 🧪 O'zingiz sinab ko'ring (xavfsiz amaliyot) ```bash title="yakuniy_amaliyot.sh" # 1. ssllabs.com/ssltest ga kiring # o'zingiz bilgan biror saytni tekshiring # ball qancha? HSTS bormi? Forward Secrecy? # 2. Terminalda testssl.sh o'rnating: git clone --depth 1 https://github.com/drwetter/testssl.sh.git cd testssl.sh # 3. Biror saytni tekshiring: ./testssl.sh --protocols google.com # Qaysi protokollar yoqilgan? Nechasi xavfli? # 4. Heartbleed tekshiruvi: nmap --script ssl-heartbleed -p 443 google.com 2>/dev/null | \ grep -A3 "ssl-heartbleed" # Natija: NOT VULNERABLE (yaxshi!) ``` ## ⚖️ Etika eslatmasi !!! danger "Etika va qonun" Bu darsda o'rganilgan barcha vositalar va texnikalar xavfsizlik mutaxassislari uchun mo'ljallangan. Ularni faqat ruxsat berilgan tizimlar va muhitlarda qo'llash mumkin. Birovning serverini ruxsatsiz skanerlash, trafigini ushlash yoki zaifligini tekshirish — jinoyat (O'zR Jinoyat Kodeksi 278-modda). White-hat mutaxassis hujjatlashtirilgan ruxsat bilan ishlaydi. HackNow CTF topshiriqlari izolyatsiyalangan muhitda — bu ruxsat berilgan xavfsiz amaliyot. ## ✅ Eng muhimi (xulosa) - TLS audit — muntazam bajariladigan profilaktik ish. `sslscan`, `testssl.sh`, `nmap` — asosiy vositalar. - Nginx konfiguratsiyasida eng ko'p uchraydigan xatolar: zaif protokollar, zaif cipherlar, HSTS yo'qligi, session tickets yoqilganligi. - SSL Labs A+ — to'g'ri sozlangan server nishoni. Mozilla SSL Config generatoridan foydalaning. - CTF — bilimlarni xavfsiz muhitda sinash usuli. Real pentesting — ruxsat va hujjat bilan. - Kriptografiya asoslari moduli tugadi. Shifrlash, PKI, parol xavfsizligi va TLS — barchasi bog'liq zanjir. **Darsdan oldin** konfiguratsiya faylini qo'lda tekshirish haqida savolimiz bor edi. Javob: `testssl.sh`, `sslscan` va `nmap` — bir buyruqda yuzlab tekshiruv bajaradi. ## ➡️ Keyingi qadam **Keyingi modul:** Tarmoq Xavfsizligi — bu yerda o'rganilgan TLS bilimlar tarmoq darajasidagi himoya bilan birlashadi. **Hayotda qo'llang (transfer):** Bugun biror saytni ssllabs.com/ssltest da tekshiring. Natijada "Protocol Support" bo'limiga qarang — TLS 1.0 yoki 1.1 bormi? Agar bo'lsa, bu server yangilanmagan. **1 soatdan keyin eslab ko'ring:** TLS audit uchun qaysi vositalarni bilasiz? Nginx konfiguratsiyasidagi 5 ta xato qaysilar edi? CTF nima? Yozmasdan eslang.

TLS va HTTPS xavfsizligi

TLS/HTTPS — Xavfsiz Aloqa Protokoli