TLS 1.3ን አንቅተናል። ለምን ተመሳሳይ ነገር ማድረግ አለብዎት

በዓመቱ መጀመሪያ ላይ, ለ 2018-2019 የበይነመረብ ችግሮች እና ተደራሽነት ዘገባ አስቀድመን ጽፈናልየ TLS 1.3 መስፋፋት የማይቀር ነው. ከተወሰነ ጊዜ በፊት እኛ እራሳችን የትራንስፖርት ንብርብር ደህንነት ፕሮቶኮልን ስሪት 1.3 አሰማርተናል እና መረጃን ከሰበሰብን እና ከመረመርን በኋላ በመጨረሻ ስለዚህ ሽግግር ባህሪዎች ለመነጋገር ዝግጁ ነን።

IETF TLS የስራ ቡድን ወንበሮች ይፃፉ:
"በአጭሩ TLS 1.3 ለሚቀጥሉት 20 አመታት ደህንነቱ የተጠበቀ እና ቀልጣፋ የኢንተርኔት አገልግሎት መሰረት መስጠት አለበት።"

ልማት የ TLS 1.3 10 ረጅም ዓመታት ፈጅቷል. እኛ የQrator Labs ከሌሎቹ ኢንዱስትሪዎች ጋር በመሆን ከመጀመሪያው ረቂቅ ጀምሮ የፕሮቶኮሉን ሂደት በቅርበት ተከታትለናል። በዚህ ጊዜ በ 28 ሚዛናዊ እና በቀላሉ ለማሰማራት የፕሮቶኮልን ብርሃን ለማየት የረቂቁን 2019 ተከታታይ ስሪቶች መፃፍ አስፈላጊ ነበር። ለ TLS 1.3 ያለው ንቁ የገበያ ድጋፍ ቀድሞውኑ ግልጽ ነው-የተረጋገጠ እና አስተማማኝ የደህንነት ፕሮቶኮል ትግበራ የወቅቱን ፍላጎቶች ያሟላል።

እንደ ኤሪክ ሬኮርላ (Firefox CTO እና የTLS 1.3 ብቸኛ ደራሲ) ከመዝገብ ጋር በተደረገ ቃለ ምልልስ:

"ይህ ሙሉ ለሙሉ የTLS 1.2 ምትክ ነው, ተመሳሳይ ቁልፎችን እና የምስክር ወረቀቶችን በመጠቀም ደንበኛው እና አገልጋዩ ሁለቱም የሚደግፉት ከሆነ በቀጥታ በ TLS 1.3 ላይ መገናኘት ይችላሉ" ብለዋል. "ቀድሞውንም በቤተ-መጽሐፍት ደረጃ ጥሩ ድጋፍ አለ፣ እና Chrome እና Firefox በነባሪነት TLS 1.3 ን አንቅተዋል።"

በትይዩ፣ TLS በ IETF የስራ ቡድን ውስጥ ያበቃል የ RFC ዝግጅት፣ የቆዩ የTLS ስሪቶችን (TLS 1.2 ብቻ ሳይጨምር) ጊዜ ያለፈባቸው እና ጥቅም ላይ የማይውሉ መሆናቸውን ማወጅ። ምናልባትም የመጨረሻው RFC ከበጋው መጨረሻ በፊት ይለቀቃል. ይህ ለ IT ኢንዱስትሪ ሌላ ምልክት ነው፡ የምስጠራ ፕሮቶኮሎችን ማዘመን መዘግየት የለበትም።

በጣም ተስማሚ የሆነውን ቤተ-መጽሐፍት ለሚፈልግ ማንኛውም ሰው የአሁን የTLS 1.3 ትግበራዎች ዝርዝር በ Github ላይ ይገኛል። https://github.com/tlswg/tls13-spec/wiki/Implementations. ለተሻሻለው ፕሮቶኮል ጉዲፈቻ እና ድጋፍ - እና ቀድሞውኑ - በፍጥነት እየተሻሻለ እንደሚሄድ ግልጽ ነው። በዘመናዊው ዓለም ውስጥ እንዴት መሠረታዊ ምስጠራ እንደ ሆነ መረዳት በሰፊው ተሰራጭቷል።

ከTLS 1.2 በኋላ ምን ተለውጧል?

ከ የበይነመረብ ማህበረሰብ ማስታወሻዎች:
"TLS 1.3 ዓለምን የተሻለች ቦታ የሚያደርገው እንዴት ነው?

TLS 1.3 የተወሰኑ ቴክኒካል ጥቅሞችን ያካትታል - ለምሳሌ ቀላል የመጨባበጥ ሂደት ደህንነቱ የተጠበቀ ግንኙነት ለመመስረት - እና እንዲሁም ደንበኞች በፍጥነት ከአገልጋዮች ጋር ክፍለ ጊዜዎችን እንዲቀጥሉ ያስችላቸዋል። እነዚህ እርምጃዎች ያልተመሰጠሩ የኤችቲቲፒ ግንኙነቶችን ለማቅረብ ብዙውን ጊዜ እንደ ማመካኛ የሚያገለግሉትን የግንኙነት ማቀናበሪያ መዘግየትን እና የግንኙነት ውድቀቶችን ለመቀነስ የታለሙ ናቸው።

ልክ እንደ አስፈላጊነቱ፣ SHA-1፣ MD5፣ DES፣ 3DES እና AES-CBCን ጨምሮ ከቀደምት የTLS ስሪቶች ጋር ለመጠቀም አሁንም የተፈቀዱ (ያልተመከሩ ቢሆንም) ለብዙ ቅርሶች እና ደህንነቱ ያልተጠበቀ ምስጠራ እና ሃሺንግ ስልተ ቀመሮችን ድጋፍ ያስወግዳል። ለአዲስ የሲፈር ስብስቦች ድጋፍ ማከል። ሌሎች ማሻሻያዎች የእጅ መጨባበጥ ተጨማሪ ኢንክሪፕት የተደረጉ አካላትን ያካትታሉ (ለምሳሌ የምስክር ወረቀት መረጃ መለዋወጥ አሁን የተመሰጠረ ነው) የትራፊክ አድማጮችን ፍንጭ መጠን ለመቀነስ እንዲሁም የተወሰኑ የቁልፍ ልውውጥ ሁነታዎችን ሲጠቀሙ ሚስጥራዊነትን የማስተላለፍ ማሻሻያዎችን ያካትታሉ። ምንም እንኳን እሱን ለማመስጠር የሚያገለግሉ ስልተ ቀመሮች ለወደፊቱ የተበላሹ ቢሆኑም በማንኛውም ጊዜ ደህንነቱ የተጠበቀ መሆን አለበት።

የዘመናዊ ፕሮቶኮሎች እና DDoS ልማት

ቀደም ሲል እንዳነበብከው የፕሮቶኮሉ እድገት ወቅት እና በኋላ እንኳን፣ በIETF TLS የስራ ቡድን ውስጥ ከባድ ተቃርኖዎች ተፈጠሩ. ፕሮቶኮሉን አሁን አብሮ የተሰራውን ለማስተናገድ የግለሰብ ኢንተርፕራይዞች (የፋይናንሺያል ተቋማትን ጨምሮ) የራሳቸውን ኔትዎርክ የሚያስጠብቁበትን መንገድ መቀየር እንዳለባቸው አሁን ግልጽ ነው። ፍጹም ወደፊት ምስጢር.

ይህ የሚያስፈልግበት ምክንያቶች በሰነዱ ውስጥ ተቀምጠዋል ፣ በ Steve Fenter ተፃፈ. ባለ 20 ገፅ ወረቀቱ አንድ ድርጅት ከባንድ ውጭ ያለውን ትራፊክ (ፒኤፍኤስ የማይፈቅደው) ለክትትል፣ ለማክበር ወይም ለመተግበሪያ ንብርብር (L7) DDoS ጥበቃ ዓላማዎች ዲክሪፕት ማድረግ የሚፈልግባቸውን በርካታ ምሳሌዎችን ይጠቅሳል።

እኛ በእርግጠኝነት የቁጥጥር መስፈርቶችን ለመገመት ዝግጁ ባንሆንም የእኛ የባለቤትነት መተግበሪያ DDoS ቅነሳ ምርት (መፍትሄን ጨምሮ) ይፋ ማድረግን አይጠይቅም። ሚስጥራዊነት ያለው እና/ወይም ሚስጥራዊ መረጃ) የተፈጠረው በ2012 PFSን ከግምት ውስጥ በማስገባት ነው፣ ስለዚህ ደንበኞቻችን እና አጋሮቻችን በአገልጋዩ በኩል ያለውን የTLS ስሪት ካዘመኑ በኋላ በመሠረተ ልማታቸው ላይ ምንም አይነት ለውጥ ማድረግ አያስፈልጋቸውም።

እንዲሁም ከትግበራው ጀምሮ ከትራንስፖርት ምስጠራ ጋር የተያያዙ ችግሮች አልተገኙም። ይፋዊ ነው፡ TLS 1.3 ለምርት ዝግጁ ነው።

ይሁን እንጂ ከቀጣዩ ትውልድ ፕሮቶኮሎች ልማት ጋር የተያያዘ ችግር አሁንም አለ. ችግሩ በ IETF ውስጥ ያለው የፕሮቶኮል ግስጋሴ በአብዛኛው በአካዳሚክ ምርምር ላይ የተመሰረተ ነው፣ እና የተከፋፈለ የአገልግሎት ክህደት ጥቃቶችን በመቅረፍ ረገድ የአካዳሚክ ምርምር ሁኔታ አስከፊ ነው።

ስለዚህ, ጥሩ ምሳሌ ይሆናል ክፍል 4.4 የአይኢቲኤፍ ረቂቅ “QUIC Manageability”፣ የመጪው የQUIC ፕሮቶኮል ስብስብ አካል፣ “ዘመናዊ [ዲዲኦኤስ ጥቃቶችን] የመለየት እና የማቃለል ዘዴዎች በተለምዶ የአውታረ መረብ ፍሰት መረጃን በመጠቀም ተገብሮ መለካትን ያካትታሉ።

የኋለኛው በእውነቱ በእውነተኛ ኢንተርፕራይዝ አካባቢዎች (እና በከፊል ለ ISPs ብቻ የሚተገበር) በጣም አልፎ አልፎ ነው ፣ እና በማንኛውም ሁኔታ በእውነተኛው ዓለም ውስጥ “አጠቃላይ ጉዳይ” የመሆን እድሉ አነስተኛ ነው - ግን በሳይንሳዊ ህትመቶች ውስጥ ያለማቋረጥ ይታያል ፣ ብዙውን ጊዜ አይደገፍም የመተግበሪያ ደረጃ ጥቃቶችን ጨምሮ አጠቃላይ የ DDoS ጥቃቶችን በመሞከር። የኋለኛው፣ ቢያንስ በአለምአቀፍ የቲኤልኤስ መሰማራት ምክንያት፣ በኔትወርክ ፓኬቶች እና ፍሰቶች ተገብሮ መለካት እንደማይቻል ግልጽ ነው።

በተመሳሳይ፣ የDDoS ቅነሳ ሃርድዌር አቅራቢዎች ከTLS 1.3 እውነታዎች ጋር እንዴት እንደሚስማሙ እስካሁን አናውቅም። ከባንዱ ውጪ ያለውን ፕሮቶኮል በመደገፍ ቴክኒካል ውስብስብነት ምክንያት ማሻሻያው የተወሰነ ጊዜ ሊወስድ ይችላል።

ምርምርን ለመምራት ትክክለኛ ግቦችን ማውጣት ለ DDoS ቅነሳ አገልግሎት አቅራቢዎች ትልቅ ፈተና ነው። ልማት የሚጀመርበት አንዱ አካባቢ ነው። SMART የምርምር ቡድን በIRTF፣ ተመራማሪዎች ስለ ፈታኝ ኢንዱስትሪ የራሳቸውን እውቀት ለማጥራት እና አዳዲስ የምርምር መንገዶችን ለመመርመር ከኢንዱስትሪው ጋር በመተባበር። እንዲሁም ለሁሉም ተመራማሪዎች ሞቅ ያለ አቀባበል እናደርጋለን ፣ ካለ - ከ DDoS ምርምር ወይም ከ SMART የምርምር ቡድን ጋር በተያያዙ ጥያቄዎች ወይም አስተያየቶች ልንገናኝ እንችላለን [ኢሜል የተጠበቀ]

ምንጭ: hab.com