অতীতে, শংসাপত্রগুলি প্রায়শই মেয়াদ শেষ হয়ে যেত কারণ সেগুলিকে ম্যানুয়ালি পুনর্নবীকরণ করতে হত। মানুষ এটা করতে ভুলে গেছে। লেটস এনক্রিপ্ট এবং স্বয়ংক্রিয় আপডেট পদ্ধতির আবির্ভাবের সাথে, মনে হচ্ছে সমস্যাটি সমাধান করা উচিত। কিন্তু সাম্প্রতিক ফায়ারফক্সের গল্প দেখায় যে এটি আসলে এখনও প্রাসঙ্গিক। দুর্ভাগ্যবশত, সার্টিফিকেটের মেয়াদ শেষ হতে থাকে।

যদি আপনি গল্পটি মিস করেন, 4 মে, 2019-এর মধ্যরাতে, প্রায় সমস্ত ফায়ারফক্স এক্সটেনশন হঠাৎ কাজ করা বন্ধ করে দেয়।

এটি পরিণত হয়েছে, ব্যাপক ব্যর্থতা ঘটেছে যে কারণে Mozilla শংসাপত্রের মেয়াদ শেষ হয়েছে, যা এক্সটেনশন সাইন ইন করতে ব্যবহৃত হয়. অতএব, সেগুলিকে "অবৈধ" হিসাবে চিহ্নিত করা হয়েছিল এবং যাচাই করা হয়নি (প্রযুক্তিগত বিবরণ) ফোরামে, একটি সমাধান হিসাবে, এটিতে এক্সটেনশন স্বাক্ষর যাচাইকরণ অক্ষম করার সুপারিশ করা হয়েছিল সম্পর্কে: কনফিগ অথবা সিস্টেম ঘড়ি পরিবর্তন.

মোজিলা অবিলম্বে ফায়ারফক্স 66.0.4 প্যাচ প্রকাশ করেছে, যা একটি অবৈধ শংসাপত্রের সাথে সমস্যার সমাধান করে এবং সমস্ত এক্সটেনশন স্বাভাবিক অবস্থায় ফিরে আসে। বিকাশকারীরা এটি ইনস্টল করার পরামর্শ দেয় এবং ব্যবহার করবেন না স্বাক্ষর যাচাইকরণকে বাইপাস করার কোন সমাধান নেই কারণ তারা প্যাচের সাথে বিরোধ করতে পারে।

যাইহোক, এই গল্পটি আবারও দেখায় যে শংসাপত্রের মেয়াদ শেষ হওয়া আজ একটি গুরুত্বপূর্ণ সমস্যা।

এই বিষয়ে, প্রোটোকল বিকাশকারীরা কীভাবে এই কাজটি মোকাবেলা করেছিল তা একটি বরং আসল উপায়টি দেখতে আকর্ষণীয় DNSCrypt. তাদের সমাধান দুটি ভাগে ভাগ করা যেতে পারে। প্রথমত, এগুলি স্বল্পমেয়াদী শংসাপত্র। দ্বিতীয়ত, দীর্ঘমেয়াদীর মেয়াদ শেষ হওয়ার বিষয়ে ব্যবহারকারীদের সতর্ক করা।

DNSCrypt

DNSCrypt হল একটি DNS ট্রাফিক এনক্রিপশন প্রোটোকল। এটি ডিএনএস যোগাযোগগুলিকে বাধা এবং এমআইটিএম থেকে রক্ষা করে এবং আপনাকে ডিএনএস ক্যোয়ারী স্তরে ব্লকিং বাইপাস করার অনুমতি দেয়।

প্রোটোকলটি ক্লায়েন্ট এবং সার্ভারের মধ্যে DNS ট্র্যাফিককে একটি ক্রিপ্টোগ্রাফিক গঠনে মোড়ানো, যা UDP এবং TCP ট্রান্সপোর্ট প্রোটোকলের উপর কাজ করে। এটি ব্যবহার করার জন্য, ক্লায়েন্ট এবং DNS সমাধানকারী উভয়কেই DNSCrypt সমর্থন করতে হবে। উদাহরণস্বরূপ, মার্চ 2016 থেকে, এটি এর DNS সার্ভারে এবং ইয়ানডেক্স ব্রাউজারে সক্ষম করা হয়েছে। গুগল এবং ক্লাউডফ্লেয়ার সহ অন্যান্য বেশ কয়েকটি প্রদানকারীও সমর্থন ঘোষণা করেছে। দুর্ভাগ্যবশত, তাদের মধ্যে অনেক নেই (152 জন DNS সার্ভার অফিসিয়াল ওয়েবসাইটে তালিকাভুক্ত করা হয়েছে)। কিন্তু প্রোগ্রাম dnscrypt-প্রক্সি Linux, Windows এবং MacOS ক্লায়েন্টগুলিতে ম্যানুয়ালি ইনস্টল করা যেতে পারে। এছাড়াও আছে সার্ভার বাস্তবায়ন.

কিভাবে DNSCrypt কাজ করে? সংক্ষেপে, ক্লায়েন্ট নির্বাচিত প্রদানকারীর সর্বজনীন কী নেয় এবং তার শংসাপত্র যাচাই করতে এটি ব্যবহার করে। সেশনের জন্য স্বল্প-মেয়াদী পাবলিক কী এবং সাইফার স্যুট শনাক্তকারী ইতিমধ্যেই আছে৷ ক্লায়েন্টদের প্রতিটি অনুরোধের জন্য একটি নতুন কী তৈরি করতে উত্সাহিত করা হয় এবং সার্ভারগুলিকে কী পরিবর্তন করতে উত্সাহিত করা হয়৷ প্রতি 24 ঘন্টা. কী বিনিময় করার সময়, X25519 অ্যালগরিদম ব্যবহার করা হয়, স্বাক্ষর করার জন্য - EdDSA, ব্লক এনক্রিপশনের জন্য - XSalsa20-Poly1305 বা XChaCha20-Poly1305৷

একজন প্রোটোকল ডেভেলপার ফ্রাঙ্ক ডেনিস তিনি লিখেছেনযে স্বয়ংক্রিয় প্রতিস্থাপন প্রতি 24 ঘন্টা মেয়াদোত্তীর্ণ সার্টিফিকেট সমস্যা সমাধান. নীতিগতভাবে, dnscrypt-proxy রেফারেন্স ক্লায়েন্ট যেকোনো বৈধতার মেয়াদের সাথে শংসাপত্র গ্রহণ করে, কিন্তু একটি সতর্কতা জারি করে "এই সার্ভারের জন্য dnscrypt-প্রক্সি কী সময়কাল খুব দীর্ঘ" যদি এটি 24 ঘন্টার বেশি সময় ধরে বৈধ হয়। একই সময়ে, একটি ডকার ইমেজ প্রকাশিত হয়েছিল, যাতে কীগুলির (এবং শংসাপত্র) দ্রুত পরিবর্তন করা হয়েছিল।

প্রথমত, এটি নিরাপত্তার জন্য অত্যন্ত উপযোগী: যদি সার্ভারে আপস করা হয় বা কী ফাঁস হয়, তাহলে গতকালের ট্র্যাফিক ডিক্রিপ্ট করা যাবে না। ইতিমধ্যে চাবি পরিবর্তন হয়েছে. এটি সম্ভবত ইয়ারোভায়া আইন বাস্তবায়নের জন্য একটি সমস্যা তৈরি করবে, যা প্রদানকারীদের এনক্রিপ্ট করা ট্রাফিক সহ সমস্ত ট্রাফিক সঞ্চয় করতে বাধ্য করে। এর অর্থ হল যে সাইট থেকে কী অনুরোধ করে প্রয়োজনে এটিকে পরে ডিক্রিপ্ট করা যেতে পারে। কিন্তু এই ক্ষেত্রে, সাইটটি কেবল এটি প্রদান করতে পারে না, কারণ এটি স্বল্প-মেয়াদী কী ব্যবহার করে, পুরানোগুলি মুছে দেয়।

কিন্তু সবচেয়ে গুরুত্বপূর্ণ, ডেনিস লিখেছেন, স্বল্প-মেয়াদী কী প্রথম দিন থেকেই সার্ভারকে অটোমেশন সেট আপ করতে বাধ্য করে। সার্ভার নেটওয়ার্কের সাথে সংযোগ করলে এবং কী পরিবর্তনের স্ক্রিপ্টগুলি কনফিগার করা না থাকলে বা কাজ না করলে, এটি অবিলম্বে সনাক্ত করা হবে।

যখন অটোমেশন প্রতি কয়েক বছরে কী পরিবর্তন করে, তখন এটির উপর নির্ভর করা যায় না এবং লোকেরা শংসাপত্রের মেয়াদ শেষ হওয়ার কথা ভুলে যেতে পারে। আপনি যদি প্রতিদিন চাবি পরিবর্তন করেন, এটি অবিলম্বে সনাক্ত করা হবে।

একই সময়ে, যদি অটোমেশন স্বাভাবিকভাবে কনফিগার করা হয়, তাহলে কীগুলি কতবার পরিবর্তিত হয় তা বিবেচ্য নয়: প্রতি বছর, প্রতি ত্রৈমাসিক বা দিনে তিনবার। যদি সবকিছু 24 ঘন্টার বেশি সময় ধরে কাজ করে তবে এটি চিরকাল কাজ করবে, লিখেছেন ফ্র্যাঙ্ক ডেনিস। তার মতে, প্রোটোকলের দ্বিতীয় সংস্করণে দৈনিক কী রোটেশনের সুপারিশ, একত্রে একটি প্রস্তুত-তৈরি ডকার ইমেজ যা এটি বাস্তবায়ন করে, কার্যকরভাবে মেয়াদোত্তীর্ণ শংসাপত্রগুলির সাথে সার্ভারের সংখ্যা কমিয়ে দেয়, একই সাথে নিরাপত্তা উন্নত করে।

যাইহোক, কিছু প্রদানকারী এখনও কিছু প্রযুক্তিগত কারণে শংসাপত্রের মেয়াদ 24 ঘন্টার বেশি করার সিদ্ধান্ত নিয়েছে। এই সমস্যাটি মূলত dnscrypt-proxy-এ কয়েকটি লাইনের কোড দিয়ে সমাধান করা হয়েছিল: ব্যবহারকারীরা শংসাপত্রের মেয়াদ শেষ হওয়ার 30 দিন আগে একটি তথ্যমূলক সতর্কতা পায়, মেয়াদ শেষ হওয়ার 7 দিন আগে উচ্চতর তীব্রতার স্তর সহ অন্য একটি বার্তা এবং শংসাপত্রে যদি কিছু অবশিষ্ট থাকে তবে একটি সমালোচনামূলক বার্তা বৈধতা 24 ঘন্টার কম। এটি শুধুমাত্র সেই শংসাপত্রগুলির ক্ষেত্রে প্রযোজ্য যেগুলির প্রারম্ভিকভাবে দীর্ঘ মেয়াদ থাকে৷

এই বার্তাগুলি ব্যবহারকারীদের DNS অপারেটরদের আসন্ন শংসাপত্রের মেয়াদ শেষ হওয়ার আগেই অবহিত করার সুযোগ দেয়।

সম্ভবত যদি সমস্ত ফায়ারফক্স ব্যবহারকারী এই ধরনের একটি বার্তা পেয়ে থাকেন, তাহলে কেউ সম্ভবত ডেভেলপারদের অবহিত করবে এবং তারা শংসাপত্রের মেয়াদ শেষ হতে দেবে না। ফ্র্যাঙ্ক ডেনিস লিখেছেন, "আমি পাবলিক ডিএনএস সার্ভারের তালিকায় একটিও DNSCrypt সার্ভার মনে রাখি না যেটির সার্টিফিকেট গত দুই বা তিন বছরে শেষ হয়ে গেছে।" যাই হোক না কেন, সতর্কতা ছাড়াই এক্সটেনশনগুলি অক্ষম করার পরিবর্তে ব্যবহারকারীদের প্রথমে সতর্ক করা সম্ভবত ভাল।

উত্স: www.habr.com