কিভাবে ESNI দিয়ে আপনার পাবলিক ওয়েবসাইট রক্ষা করবেন

হ্যালো হাবর, আমার নাম ইলিয়া, আমি Exness-এর প্ল্যাটফর্ম টিমে কাজ করি। আমাদের প্রোডাক্ট ডেভেলপমেন্ট টিমগুলি ব্যবহার করে আমরা মূল অবকাঠামোর উপাদানগুলির বিকাশ এবং বাস্তবায়ন করি।

এই নিবন্ধে, আমি পাবলিক ওয়েবসাইটের পরিকাঠামোতে এনক্রিপ্টেড SNI (ESNI) প্রযুক্তি বাস্তবায়নের আমার অভিজ্ঞতা শেয়ার করতে চাই।

একটি সর্বজনীন ওয়েবসাইটের সাথে কাজ করার সময় এবং কোম্পানির গৃহীত অভ্যন্তরীণ নিরাপত্তা মানগুলি মেনে চলার সময় এই প্রযুক্তির ব্যবহার নিরাপত্তার মাত্রা বৃদ্ধি করবে।

প্রথমত, আমি উল্লেখ করতে চাই যে প্রযুক্তিটি মানসম্মত নয় এবং এখনও খসড়ায় রয়েছে, তবে ক্লাউডফ্লেয়ার এবং মজিলা ইতিমধ্যেই এটিকে সমর্থন করে ( খসড়া 01) এই ধরনের একটি পরীক্ষার জন্য আমাদের অনুপ্রাণিত.

তত্ত্ব একটি বিট

ESNI TLS 1.3 প্রোটোকলের একটি এক্সটেনশন যা TLS হ্যান্ডশেক "ক্লায়েন্ট হ্যালো" বার্তায় SNI এনক্রিপশনের অনুমতি দেয়৷ ESNI সমর্থনের সাথে ক্লায়েন্ট হ্যালো কেমন দেখায় তা এখানে (সাধারণ SNI এর পরিবর্তে আমরা ESNI দেখি):

 ESNI ব্যবহার করতে, আপনার তিনটি উপাদান প্রয়োজন:

• DNS; 
• ক্লায়েন্ট সমর্থন;
• সার্ভার সাইড সমর্থন.

ডিএনএস

আপনাকে দুটি DNS রেকর্ড যোগ করতে হবে - Aএবং TXT (TXT রেকর্ডে সর্বজনীন কী রয়েছে যা দিয়ে ক্লায়েন্ট SNI এনক্রিপ্ট করতে পারে) - নীচে দেখুন। উপরন্তু, সমর্থন থাকতে হবে DoH (HTTPS এর উপর DNS) কারণ উপলব্ধ ক্লায়েন্ট (নীচে দেখুন) DoH ছাড়া ESNI সমর্থন সক্ষম করে না। এটি যৌক্তিক, যেহেতু ESNI দ্বারা আমরা যে সংস্থানটি অ্যাক্সেস করছি তার নাম এনক্রিপশন বোঝায়, অর্থাৎ, UDP-এর মাধ্যমে DNS অ্যাক্সেস করার কোন মানে হয় না। তাছাড়া ব্যবহার ডিএনেসএসইসি এই পরিস্থিতিতে ক্যাশে বিষক্রিয়ার আক্রমণ থেকে রক্ষা করার অনুমতি দেয়।

বর্তমানে সহজলভ্য বেশ কিছু DoH প্রদানকারী, তাদের মধ্যে:

• CloudFlare
• OpenDNS
• গুগল

CloudFlare রাজ্যের (আমার ব্রাউজার চেক করুন → এনক্রিপ্টেড SNI → আরও জানুন) যে তাদের সার্ভারগুলি ইতিমধ্যেই ESNI সমর্থন করে, অর্থাৎ, DNS-এ CloudFlare সার্ভারগুলির জন্য আমাদের অন্তত দুটি রেকর্ড রয়েছে - A এবং TXT৷ নীচের উদাহরণে আমরা Google DNS (HTTPS এর উপর) জিজ্ঞাসা করি: 

А এন্ট্রি:

curl 'https://dns.google.com/resolve?name=www.cloudflare.com&type=A' 
-s -H 'accept: application/dns+json'
{
  "Status": 0,
  "TC": false,
  "RD": true,
  "RA": true,
  "AD": true,
  "CD": false,
  "Question": [
    {
      "name": "www.cloudflare.com.",
      "type": 1
    }
  ],
  "Answer": [
    {
      "name": "www.cloudflare.com.",
      "type": 1,
      "TTL": 257,
      "data": "104.17.210.9"
    },
    {
      "name": "www.cloudflare.com.",
      "type": 1,
      "TTL": 257,
      "data": "104.17.209.9"
    }
  ]
}

TXT রেকর্ড, অনুরোধ একটি টেমপ্লেট অনুযায়ী উত্পন্ন হয় _esni.FQDN:

curl 'https://dns.google.com/resolve?name=_esni.www.cloudflare.com&type=TXT' 
-s -H 'accept: application/dns+json'
{
  "Status": 0,
  "TC": false,
  "RD": true,
  "RA": true,
  "AD": true,
  "CD": false,
  "Question": [
    {
    "name": "_esni.www.cloudflare.com.",
    "type": 16
    }
  ],
  "Answer": [
    {
    "name": "_esni.www.cloudflare.com.",
    "type": 16,
    "TTL": 1799,
    "data": ""/wEUgUKlACQAHQAg9SiAYQ9aUseUZr47HYHvF5jkt3aZ5802eAMJPhRz1QgAAhMBAQQAAAAAXtUmAAAAAABe3Q8AAAA=""
    }
  ],
  "Comment": "Response from 2400:cb00:2049:1::a29f:209."
}

সুতরাং, একটি DNS দৃষ্টিকোণ থেকে, আমাদের উচিত DoH ব্যবহার করা (বিশেষত DNSSEC এর সাথে) এবং দুটি এন্ট্রি যোগ করা। 

গ্রাহক সমর্থন

আমরা যদি ব্রাউজার সম্পর্কে কথা বলি, তাহলে এই মুহূর্তে সমর্থন শুধুমাত্র ফায়ারফক্সে প্রয়োগ করা হয়. এটা হল ফায়ারফক্সে কীভাবে ESNI এবং DoH সমর্থন সক্রিয় করতে হয় তার নির্দেশাবলী এখানে রয়েছে। ব্রাউজারটি কনফিগার করার পরে, আমাদের এরকম কিছু দেখতে হবে:

লিংক ব্রাউজার চেক করতে।

অবশ্যই, ESNI সমর্থন করার জন্য TLS 1.3 ব্যবহার করা আবশ্যক, যেহেতু ESNI হল TLS 1.3-এর একটি এক্সটেনশন৷

ESNI সমর্থন সহ ব্যাকএন্ড পরীক্ষা করার উদ্দেশ্যে, আমরা ক্লায়েন্ট চালু করেছি go, কিন্তু পরে যে আরো.

সার্ভার সাইড সাপোর্ট

বর্তমানে, ESNI nginx/apache ইত্যাদির মতো ওয়েব সার্ভার দ্বারা সমর্থিত নয়, যেহেতু তারা TLS-এর সাথে OpenSSL/BoringSSL-এর মাধ্যমে কাজ করে, যা আনুষ্ঠানিকভাবে ESNI সমর্থন করে না।

অতএব, আমরা আমাদের নিজস্ব ফ্রন্ট-এন্ড কম্পোনেন্ট (ইএসএনআই রিভার্স প্রক্সি) তৈরি করার সিদ্ধান্ত নিয়েছি, যা ইএসএনআই সহ TLS 1.3 সমাপ্তি সমর্থন করবে এবং আপস্ট্রিমে প্রক্সি HTTP(S) ট্রাফিক যা ESNI সমর্থন করে না। এটি মূল উপাদানগুলি পরিবর্তন না করে প্রযুক্তিটিকে ইতিমধ্যে বিদ্যমান পরিকাঠামোতে ব্যবহার করার অনুমতি দেয় - অর্থাৎ, বর্তমান ওয়েব সার্ভারগুলি ব্যবহার করে যা ESNI সমর্থন করে না৷ 

স্পষ্টতার জন্য, এখানে একটি চিত্র রয়েছে:

আমি লক্ষ্য করি যে প্রক্সিটি ESNI ছাড়াই একটি TLS সংযোগ বন্ধ করার ক্ষমতা সহ, ESNI ছাড়া ক্লায়েন্টদের সমর্থন করার জন্য ডিজাইন করা হয়েছিল৷ এছাড়াও, আপস্ট্রিমের সাথে যোগাযোগের প্রোটোকলটি HTTP বা HTTPS হতে পারে যার TLS সংস্করণ 1.3 এর চেয়ে কম (যদি আপস্ট্রিম 1.3 সমর্থন না করে)। এই স্কিম সর্বোচ্চ নমনীয়তা দেয়।

উপর ESNI সমর্থন বাস্তবায়ন go আমরা থেকে ধার করেছি CloudFlare. আমি অবিলম্বে নোট করতে চাই যে বাস্তবায়ন নিজেই বেশ অ-তুচ্ছ, কারণ এতে স্ট্যান্ডার্ড লাইব্রেরিতে পরিবর্তন জড়িত ক্রিপ্টো/টিএলএস এবং তাই "প্যাচিং" প্রয়োজন গুরোট সমাবেশের আগে।

ESNI কী তৈরি করতে আমরা ব্যবহার করেছি esnitool (এছাড়াও ক্লাউডফ্লেয়ারের মস্তিষ্কপ্রসূত)। এই কীগুলি SNI এনক্রিপশন/ডিক্রিপশনের জন্য ব্যবহার করা হয়।
আমরা গো ১.১৩ ব্যবহার করে বিল্ডটি পরীক্ষা করেছি Linux (Debian, Alpine) এবং MacOS। 

অপারেশনাল বৈশিষ্ট্য সম্পর্কে কয়েকটি শব্দ

ESNI রিভার্স প্রক্সি প্রমিথিউস ফরম্যাটে মেট্রিক্স প্রদান করে, যেমন rps, আপস্ট্রিম লেটেন্সি এবং রেসপন্স কোড, ব্যর্থ/সফল TLS হ্যান্ডশেক এবং TLS হ্যান্ডশেক সময়কাল। প্রথম নজরে, প্রক্সি কীভাবে ট্র্যাফিক পরিচালনা করে তা মূল্যায়ন করার জন্য এটি যথেষ্ট বলে মনে হচ্ছে। 

আমরা ব্যবহারের আগে লোড টেস্টিংও করেছি। নীচের ফলাফল:

wrk -t50 -c1000 -d360s 'https://esni-rev-proxy.npw:443' --timeout 15s
Running 6m test @ https://esni-rev-proxy.npw:443
  50 threads and 1000 connections
  Thread Stats   Avg      Stdev     Max   +/- Stdev
    Latency     1.77s     1.21s    7.20s    65.43%
    Req/Sec    13.78      8.84   140.00     83.70%
  206357 requests in 6.00m, 6.08GB read
Requests/sec:    573.07
Transfer/sec:     17.28MB 

আমরা ESNI বিপরীত প্রক্সি ব্যবহার করে এবং ছাড়া স্কিমের তুলনা করার জন্য সম্পূর্ণরূপে গুণগত লোড পরীক্ষা চালিয়েছি। মধ্যবর্তী উপাদানগুলিতে "হস্তক্ষেপ" দূর করার জন্য আমরা স্থানীয়ভাবে ট্র্যাফিক "ঢালা" করেছি।

সুতরাং, ESNI সমর্থন এবং HTTP থেকে আপস্ট্রিমে প্রক্সি করার সাথে, আমরা একটি উদাহরণ থেকে প্রায় ~550 rps পেয়েছি, ESNI বিপরীত প্রক্সির গড় CPU/RAM খরচ সহ:

• ৮০% সিপিইউ ব্যবহার (৪টি ভি-সিপিইউ, ৪ জিবি র‍্যাম হোস্ট) Linux)
• 130 এমবি মেম আরএসএস

তুলনা করার জন্য, TLS (HTTP প্রোটোকল) ছাড়াই একই nginx আপস্ট্রিমের জন্য RPS হল ~ 1100:

wrk -t50 -c1000 -d360s 'http://lb.npw:80' –-timeout 15s
Running 6m test @ http://lb.npw:80
  50 threads and 1000 connections
  Thread Stats   Avg      Stdev     Max   +/- Stdev
    Latency     1.11s     2.30s   15.00s    90.94%
    Req/Sec    23.25     13.55   282.00     79.25%
  393093 requests in 6.00m, 11.35GB read
  Socket errors: connect 0, read 0, write 0, timeout 9555
  Non-2xx or 3xx responses: 8111
Requests/sec:   1091.62
Transfer/sec:     32.27MB 

টাইমআউটের উপস্থিতি রিসোর্সের অভাব নির্দেশ করে (আমরা ৪টি vCPU, ৪ জিবি র‍্যামের হোস্ট ব্যবহার করেছি, Linux), এবং প্রকৃতপক্ষে সম্ভাব্য RPS আরও বেশি (আমরা আরও শক্তিশালী রিসোর্সগুলিতে ২৭০০ RPS পর্যন্ত মান পেয়েছি)।

উপসংহারে, আমি নোট যে ESNI প্রযুক্তি বেশ আশাপ্রদ দেখায়। এখনও অনেকগুলি খোলা প্রশ্ন রয়েছে, উদাহরণস্বরূপ, DNS-এ সর্বজনীন ESNI কী সংরক্ষণ করার এবং ESNI কীগুলি ঘোরানোর সমস্যাগুলি - এই সমস্যাগুলি সক্রিয়ভাবে আলোচনা করা হচ্ছে এবং ESNI খসড়ার সর্বশেষ সংস্করণ (লেখার সময়) ইতিমধ্যেই রয়েছে 7.

উত্স: www.habr.com