আমরা TLS 1.3 সক্ষম করেছি। কেন আপনি একই করতে হবে

বছরের শুরুতে, 2018-2019 এর জন্য ইন্টারনেট সমস্যা এবং অ্যাক্সেসযোগ্যতার একটি প্রতিবেদনে আমরা ইতিমধ্যে লিখেছিযে TLS 1.3 এর বিস্তার অনিবার্য। কিছু সময় আগে, আমরা নিজেরাই ট্রান্সপোর্ট লেয়ার সিকিউরিটি প্রোটোকলের সংস্করণ 1.3 মোতায়েন করেছি এবং ডেটা সংগ্রহ ও বিশ্লেষণ করার পরে, আমরা অবশেষে এই পরিবর্তনের বৈশিষ্ট্যগুলি সম্পর্কে কথা বলতে প্রস্তুত।

IETF TLS ওয়ার্কিং গ্রুপ চেয়ার লেখা:
"সংক্ষেপে, TLS 1.3 আগামী 20 বছরের জন্য আরও নিরাপদ এবং দক্ষ ইন্টারনেটের ভিত্তি প্রদান করবে।"

নকশা TLS 1.3 দীর্ঘ 10 বছর লেগেছে। আমরা Qrator ল্যাবসে, বাকি শিল্পের সাথে, প্রাথমিক খসড়া থেকে প্রোটোকল তৈরির প্রক্রিয়াটি ঘনিষ্ঠভাবে অনুসরণ করেছি। এই সময়ের মধ্যে, শেষ পর্যন্ত 28 সালে একটি সুষম এবং সহজে স্থাপন করা প্রোটোকলের আলো দেখার জন্য খসড়াটির 2019টি ধারাবাহিক সংস্করণ লেখার প্রয়োজন ছিল। TLS 1.3 এর জন্য সক্রিয় বাজার সমর্থন ইতিমধ্যেই স্পষ্ট: একটি প্রমাণিত এবং নির্ভরযোগ্য নিরাপত্তা প্রোটোকলের বাস্তবায়ন সময়ের চাহিদা পূরণ করে।

এরিক রেসকরলা (Firefox CTO এবং TLS 1.3 এর একমাত্র লেখক) এর মতে দ্য রেজিস্টারের সাথে একটি সাক্ষাত্কারে:

"এটি একই কী এবং সার্টিফিকেট ব্যবহার করে TLS 1.2-এর সম্পূর্ণ প্রতিস্থাপন, তাই ক্লায়েন্ট এবং সার্ভার স্বয়ংক্রিয়ভাবে TLS 1.3-এর উপর যোগাযোগ করতে পারে যদি তারা উভয়ই এটি সমর্থন করে," তিনি বলেন। "লাইব্রেরি স্তরে ইতিমধ্যেই ভাল সমর্থন রয়েছে এবং Chrome এবং Firefox ডিফল্টরূপে TLS 1.3 সক্ষম করে।"

সমান্তরালভাবে, TLS IETF ওয়ার্কিং গ্রুপে শেষ হচ্ছে RFC প্রস্তুতি, TLS এর পুরানো সংস্করণ (শুধুমাত্র TLS 1.2 ব্যতীত) অপ্রচলিত এবং অব্যবহারযোগ্য ঘোষণা করে। সম্ভবত, গ্রীষ্মের শেষের আগে চূড়ান্ত RFC প্রকাশিত হবে। এটি আইটি শিল্পের জন্য আরেকটি সংকেত: এনক্রিপশন প্রোটোকল আপডেট করতে দেরি করা উচিত নয়।

বর্তমান TLS 1.3 বাস্তবায়নের একটি তালিকা Github-এ উপলব্ধ যে কেউ সবচেয়ে উপযুক্ত লাইব্রেরি খুঁজছেন: https://github.com/tlswg/tls13-spec/wiki/Implementations. এটা স্পষ্ট যে আপডেট হওয়া প্রোটোকলের জন্য গ্রহণ এবং সমর্থন হবে-এবং ইতিমধ্যেই-দ্রুত অগ্রসর হচ্ছে। আধুনিক বিশ্বে কীভাবে মৌলিক এনক্রিপশন হয়ে উঠেছে তা বোঝা বেশ ব্যাপকভাবে ছড়িয়ে পড়েছে।

TLS 1.2 থেকে কি পরিবর্তন হয়েছে?

থেকে ইন্টারনেট সোসাইটি নোট:
"কীভাবে TLS 1.3 বিশ্বকে একটি ভাল জায়গা করে তোলে?

TLS 1.3-এ কিছু প্রযুক্তিগত সুবিধা রয়েছে—যেমন একটি সুরক্ষিত সংযোগ স্থাপনের জন্য একটি সরলীকৃত হ্যান্ডশেক প্রক্রিয়া—এবং ক্লায়েন্টদের আরও দ্রুত সার্ভারের সাথে সেশন পুনরায় শুরু করার অনুমতি দেয়। এই ব্যবস্থাগুলি দুর্বল লিঙ্কগুলিতে সংযোগ সেটআপ লেটেন্সি এবং সংযোগ ব্যর্থতা হ্রাস করার উদ্দেশ্যে করা হয়েছে, যা প্রায়শই শুধুমাত্র এনক্রিপ্ট করা HTTP সংযোগ প্রদানের জন্য যুক্তি হিসাবে ব্যবহৃত হয়।

ঠিক তেমনই গুরুত্বপূর্ণ, এটি SHA-1, MD5, DES, 3DES, এবং AES-CBC সহ TLS-এর পূর্ববর্তী সংস্করণগুলির সাথে ব্যবহারের জন্য এখনও অনুমোদিত (যদিও প্রস্তাবিত নয়) বিভিন্ন উত্তরাধিকার এবং অনিরাপদ এনক্রিপশন এবং হ্যাশিং অ্যালগরিদমের সমর্থন সরিয়ে দেয়৷ নতুন সাইফার স্যুটগুলির জন্য সমর্থন যোগ করা হচ্ছে। অন্যান্য উন্নতির মধ্যে রয়েছে হ্যান্ডশেকের আরও এনক্রিপ্ট করা উপাদান (উদাহরণস্বরূপ, শংসাপত্রের তথ্যের আদান-প্রদান এখন এনক্রিপ্ট করা হয়েছে) সম্ভাব্য ট্রাফিক ইভড্রপারের কাছে ক্লুগুলির পরিমাণ কমাতে, সেইসাথে কিছু কী বিনিময় মোড ব্যবহার করার সময় গোপনীয়তার উন্নতির জন্য যাতে যোগাযোগ এনক্রিপ্ট করার জন্য ব্যবহৃত অ্যালগরিদমগুলি ভবিষ্যতে আপস করা হলেও সর্বদা নিরাপদ থাকতে হবে।"

আধুনিক প্রোটোকল এবং DDoS এর উন্নয়ন

আপনি ইতিমধ্যে পড়তে পারেন, প্রোটোকল উন্নয়নের সময় এবং এমনকি পরে, IETF TLS ওয়ার্কিং গ্রুপে গুরুতর দ্বন্দ্ব দেখা দেয়. এটি এখন স্পষ্ট যে পৃথক উদ্যোগগুলিকে (আর্থিক প্রতিষ্ঠান সহ) তাদের নিজস্ব নেটওয়ার্ক সুরক্ষিত করার উপায় পরিবর্তন করতে হবে যাতে প্রোটোকলের এখন বিল্ট-ইন মিটমাট করা যায়। নিখুঁত ফরোয়ার্ড গোপনীয়তা.

কেন এটি প্রয়োজন হতে পারে তা নথিতে উল্লেখ করা হয়েছে, স্টিভ ফেন্টার লিখেছেন. 20-পৃষ্ঠার কাগজটিতে বেশ কয়েকটি উদাহরণ উল্লেখ করা হয়েছে যেখানে একটি এন্টারপ্রাইজ আউট-অফ-ব্যান্ড ট্র্যাফিক ডিক্রিপ্ট করতে চাইতে পারে (যা PFS অনুমতি দেয় না) পর্যবেক্ষণ, সম্মতি বা অ্যাপ্লিকেশন স্তর (L7) DDoS সুরক্ষা উদ্দেশ্যে।

যদিও আমরা অবশ্যই নিয়ন্ত্রক প্রয়োজনীয়তা সম্পর্কে অনুমান করার জন্য প্রস্তুত নই, আমাদের মালিকানাধীন অ্যাপ্লিকেশন DDoS প্রশমন পণ্য (একটি সমাধান সহ প্রকাশের প্রয়োজন নেই সংবেদনশীল এবং/অথবা গোপনীয় তথ্য) 2012 সালে PFS কে বিবেচনায় নিয়ে তৈরি করা হয়েছিল, তাই সার্ভারের দিকে TLS সংস্করণ আপডেট করার পরে আমাদের ক্লায়েন্ট এবং অংশীদারদের তাদের পরিকাঠামোতে কোন পরিবর্তন করার প্রয়োজন ছিল না।

এছাড়াও, বাস্তবায়নের পর থেকে, পরিবহন এনক্রিপশন সম্পর্কিত কোন সমস্যা চিহ্নিত করা হয়নি। এটি অফিসিয়াল: TLS 1.3 উৎপাদনের জন্য প্রস্তুত।

যাইহোক, এখনও পরবর্তী প্রজন্মের প্রোটোকলগুলির বিকাশের সাথে সম্পর্কিত একটি সমস্যা রয়েছে। সমস্যা হল যে IETF-এ প্রোটোকলের অগ্রগতি সাধারণত একাডেমিক গবেষণার উপর ব্যাপকভাবে নির্ভর করে, এবং বিতরণ করা অস্বীকৃতি-অফ-সার্ভিস আক্রমণ প্রশমিত করার ক্ষেত্রে একাডেমিক গবেষণার অবস্থা হতাশাজনক।

সুতরাং, একটি ভাল উদাহরণ হবে বিভাগ 4.4 আসন্ন QUIC প্রোটোকল স্যুটের অংশ IETF খসড়া "QUIC পরিচালনাযোগ্যতা", বলে যে "[DDoS আক্রমণ] সনাক্তকরণ এবং প্রশমিত করার জন্য আধুনিক পদ্ধতিগুলি সাধারণত নেটওয়ার্ক প্রবাহ ডেটা ব্যবহার করে প্যাসিভ পরিমাপকে জড়িত করে।"

পরেরটি প্রকৃতপক্ষে, বাস্তব এন্টারপ্রাইজ পরিবেশে খুব বিরল (এবং শুধুমাত্র আংশিকভাবে ISP-এর ক্ষেত্রে প্রযোজ্য), এবং যে কোনও ক্ষেত্রেই বাস্তব জগতে "সাধারণ ক্ষেত্রে" হওয়ার সম্ভাবনা নেই - তবে বৈজ্ঞানিক প্রকাশনাগুলিতে ক্রমাগত প্রদর্শিত হয়, সাধারণত সমর্থিত নয় সম্ভাব্য DDoS আক্রমণের সম্পূর্ণ বর্ণালী পরীক্ষা করে, অ্যাপ্লিকেশন স্তরের আক্রমণ সহ। পরেরটি, অন্তত বিশ্বব্যাপী TLS স্থাপনের কারণে, স্পষ্টতই নেটওয়ার্ক প্যাকেট এবং প্রবাহের প্যাসিভ পরিমাপ দ্বারা সনাক্ত করা যাবে না।

একইভাবে, আমরা এখনও জানি না কিভাবে DDoS প্রশমন হার্ডওয়্যার বিক্রেতারা TLS 1.3 এর বাস্তবতার সাথে খাপ খাবে। আউট-অফ-ব্যান্ড প্রোটোকল সমর্থন করার প্রযুক্তিগত জটিলতার কারণে, আপগ্রেড হতে কিছু সময় লাগতে পারে।

গবেষণা পরিচালনার জন্য সঠিক লক্ষ্য নির্ধারণ করা DDoS প্রশমন পরিষেবা প্রদানকারীদের জন্য একটি বড় চ্যালেঞ্জ। একটি এলাকা যেখানে উন্নয়ন শুরু হতে পারে স্মার্ট গবেষণা গ্রুপ আইআরটিএফ-এ, যেখানে গবেষকরা একটি চ্যালেঞ্জিং শিল্প সম্পর্কে তাদের নিজস্ব জ্ঞান পরিমার্জিত করতে এবং গবেষণার নতুন উপায়গুলি অন্বেষণ করতে শিল্পের সাথে সহযোগিতা করতে পারেন। আমরা সকল গবেষকদের উষ্ণ স্বাগত জানাই, যদি কেউ থাকে - DDoS গবেষণা বা SMART গবেষণা গ্রুপের সাথে সম্পর্কিত প্রশ্ন বা পরামর্শের জন্য আমাদের সাথে যোগাযোগ করা যেতে পারে rnd@qrator.net সম্পর্কে

উত্স: www.habr.com