{"id":33503,"date":"2019-10-31T21:52:58","date_gmt":"2019-10-31T18:52:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa\/"},"modified":"2019-10-31T21:52:58","modified_gmt":"2019-10-31T18:52:58","slug":"kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","title":{"rendered":"Hvordan DNSCrypt l\u00f8ste problemet med udl\u00f8bne certifikater ved at indf\u00f8re en gyldighedsperiode p\u00e5 24 timer","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Hvordan
\n
\nTidligere udl\u00f8b certifikater ofte, fordi de skulle opdateres manuelt. Folk glemte simpelthen at g\u00f8re det. Med fremkomsten af Let\u2019s Encrypt og en automatisk opdateringsprocedure burde problemet v\u00e6re l\u00f8st. Men en nylig historie med Firefox<\/a><\/noindex> viser, at det faktisk stadig er relevant. Desv\u00e6rre forts\u00e6tter certifikater med at udl\u00f8be.<\/p>\n

Hvis nogen har misset denne historie, stoppede n\u00e6sten alle Firefox-udvidelser pludselig med at fungere ved midnat den 4. maj 2019.
\n<\/a><\/noindex>
\nSom det viste sig, opstod der en massiv fejl, fordi Mozillas certifikat udl\u00f8b<\/a><\/noindex>, der blev brugt til at signere udvidelserne. Derfor blev de markeret som \"ugyldige\" og bestod ikke kontrol (tekniske detaljer<\/a><\/noindex>). P\u00e5 forumene blev det anbefalet at deaktivere signaturkontrol for udvidelser i about:config<\/i> eller \u00e6ndre systemuret.<\/p>\n

Mozilla udgav hurtigt en opdatering til Firefox 66.0.4, som l\u00f8ser problemet med det ugyldige certifikat, og alle udvidelser vender tilbage til normal. Udviklerne anbefaler at installere den og ikke bruge<\/a><\/noindex> nogle genveje for at omg\u00e5 signaturkontrollen, da de kan konflikte med opdateringen.<\/p>\n

Alligevel viser denne historie igen, at udl\u00f8b af certifikater stadig er et aktuelt problem i dag.<\/p>\n

I denne forbindelse er det interessant at se p\u00e5 den ret originale metode, som udviklerne af protokollen DNSCrypt<\/a><\/noindex>har h\u00e5ndteret denne opgave. Deres l\u00f8sning kan opdeles i to dele. For det f\u00f8rste er det kortvarige certifikater. For det andet advarsel til brugerne om udl\u00f8bet af langtidscertifikater.<\/p>\n

DNSCrypt<\/h1>\n

\n\"HvordanDNSCrypt er en protokol til kryptering af DNS-trafik. Den beskytter DNS-kommunikation mod opsnapning og MiTM og giver ogs\u00e5 mulighed for at omg\u00e5 blokeringer p\u00e5 DNS-foresp\u00f8rgselsniveau.<\/p>\n

Protokollen indkapsler DNS-trafik mellem klient og server i en kryptografisk struktur, der arbejder over transportprotokollerne UDP og TCP. For at bruge det skal b\u00e5de klienten og DNS-resolveren underst\u00f8tte DNSCrypt. For eksempel, siden marts 2016 har det v\u00e6ret aktiveret p\u00e5 Yandex' DNS-servere og i deres browser. Nogle andre udbydere, herunder Google og Cloudflare, har ogs\u00e5 annonceret st\u00f8tte. Desv\u00e6rre er der ikke mange af dem (152 offentlige DNS-servere er opf\u00f8rt p\u00e5 det officielle websted). Men programmet dnscrypt-proxy<\/a><\/noindex> det kan installeres manuelt p\u00e5 klienter under Linux, Windows og MacOS. Der er ogs\u00e5 serverimplementeringer<\/a><\/noindex>.<\/p>\n

\"Hvordan
\n
\nHvordan fungerer DNSCrypt? Kort sagt, klienten tager den offentlige n\u00f8gle fra den valgte udbyder og bruger den til at kontrollere dens certifikater. Her findes kortvarige offentlige n\u00f8gler til sessionen og identifikatoren for krypteringsmetoden. Klienter anbefales at generere en ny n\u00f8gle til hver foresp\u00f8rgsel, mens serverne b\u00f8r \u00e6ndre n\u00f8glerne hver 24 timer<\/b>. Under n\u00f8gleudvekslingen anvendes algoritmen X25519, til signaturer bruges EdDSA, og til blokd\u00e6kning anvendes XSalsa20-Poly1305 eller XChaCha20-Poly1305.<\/p>\n

En af udviklerne af protokollen, Frank Denis skriver<\/a><\/noindex>, at automatisk udskiftning hver 24. time l\u00f8ste problemet med udl\u00f8bne certifikater. I princippet accepterer den referencerklient, dnscrypt-proxy, certifikater med enhver gyldighedsperiode, men udsteder en advarsel om, at \"Periode for dnscrypt-proxy-n\u00f8gler til denne server er for lang\", hvis den er gyldig i over 24 timer. Samtidig blev der udgivet et Docker-billede, der muliggjorde hurtig n\u00f8gleudskiftning (og certifikater).<\/p>\n

For det f\u00f8rste er det ekstremt nyttigt for sikkerheden: hvis serveren er kompromitteret eller n\u00f8glen er l\u00e6kket, kan g\u00e5rsdagens trafik ikke dekrypteres. N\u00f8glen er allerede blevet \u00e6ndret. Dette vil sandsynligvis udg\u00f8re et problem for implementeringen af \"Yarovaya-loven\", som tvinger udbydere til at gemme al trafik, herunder den krypterede. Det antages, at den senere kan dekrypteres ved behov ved at anmode om n\u00f8glen fra webstedet. Men i dette tilf\u00e6lde vil webstedet simpelthen ikke kunne give den, fordi det bruger kortvarige n\u00f8gler og sletter de gamle.<\/p>\n

Men vigtigst af alt, skriver Denis, f\u00e5r kortvarige n\u00f8gler serverne fra f\u00f8rste dag til at s\u00e6tte automatisering i gang. Hvis serveren tilsluttes nettet, og scripts til n\u00f8gleudskiftning ikke er konfigureret eller ikke fungerer, vil dette straks blive opdaget.<\/p>\n

N\u00e5r automatiseringen \u00e6ndrer n\u00f8gler hvert par \u00e5r, kan man ikke stole p\u00e5 det, og folk kan glemme udl\u00f8bsdatoen for certifikatet. Ved daglig \u00e6ndring af n\u00f8gler vil dette straks blive opdaget.<\/p>\n

Samtidig, hvis automatiseringen er korrekt indstillet, betyder det ikke noget, hvor ofte n\u00f8glerne skiftes: hvert \u00e5r, hvert kvartal eller tre gange om dagen. Hvis alt fungerer i mere end 24 timer, vil det fungere for evigt, skriver Frank Denis. If\u00f8lge ham har anbefalingen om daglig n\u00f8gleskift i den anden version af protokollen sammen med et klart Docker-billede, der implementerer det, effektivt reduceret antallet af servere med udl\u00f8bne certifikater, samtidig med at sikkerheden er blevet forbedret.<\/p>\n

Dog har nogle udbydere alligevel valgt at etablere en gyldighedsperiode for certifikatet p\u00e5 mere end 24 timer af tekniske \u00e5rsager. Dette problem er hovedsageligt l\u00f8st ved hj\u00e6lp af et par linjer kode i dnscrypt-proxy: brugerne modtager en informativ advarsel 30 dage f\u00f8r certifikatets udl\u00f8b, en anden med h\u00f8jere alvorlighed 7 dage f\u00f8r udl\u00f8bet og en kritisk meddelelse, hvis der er mindre end 24 timer tilbage. Dette g\u00e6lder kun for certifikater, der oprindeligt har en lang gyldighedsperiode.<\/p>\n

S\u00e5danne meddelelser giver brugerne mulighed for at informere DNS-operat\u00f8rerne om det kommende udl\u00f8b af certifikatet, inden det er for sent. <\/p>\n

M\u00e5ske, hvis alle Firefox-brugere havde f\u00e5et en s\u00e5dan meddelelse, ville nogen bestemt have informeret udviklerne, og de ville ikke have tilladt udl\u00f8bet af certifikatet. \"Jeg kan ikke huske nogen DNSCrypt-server fra listen over offentlige DNS-servere, som har haft et udl\u00f8bet certifikat i de sidste to eller tre \u00e5r,\" skriver Frank Denis. Under alle omst\u00e6ndigheder er det m\u00e5ske bedre at advare brugerne f\u00f8rst, snarere end at deaktivere udvidelser uden advarsel.<\/p>\n

\n\"Hvordan
\n<\/a><\/noindex>
\n
Kilde: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25203,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Hvordan DNSCrypt l\u00f8ste problemet med udl\u00f8bne certifikater ved at indf\u00f8re en gyldighedsperiode p\u00e5 24 timer | ProHoster","description":"Tidligere.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a DNSCrypt \u0440\u0435\u0448\u0438\u043b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043f\u0440\u043e\u0441\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u0432\u0432\u0435\u0434\u044f \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f 24 \u0447\u0430\u0441\u0430 | ProHoster","og:description":"\u0420\u0430\u043d\u044c\u0448\u0435.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:52:58+00:00","article:modified_time":"2019-10-31T18:52:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33503","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:31:39","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:31:39","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/33503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=33503"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/33503\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/25203"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=33503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=33503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=33503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}