Zu Beginn des Jahres, im Bericht über Probleme und Verfügbarkeit des Internets von 2018-2019 , dass die Verbreitung von TLS 1.3 unvermeidlich ist. Vor einiger Zeit haben wir selbst Version 1.3 des Transport Layer Security-Protokolls implementiert und sind nach der Datensammlung und -analyse endlich bereit, über die Besonderheiten dieses Übergangs zu berichten.
Vorsitzende der IETF TLS-Arbeitsgruppe :
„Kurz gesagt, TLS 1.3 sollte die Grundlage für ein sichereres und effizienteres Internet in den nächsten 20 Jahren bieten“.
Entwicklung hat 10 lange Jahre gedauert. Wir bei Qrator Labs haben zusammen mit der gesamten Branche den Prozess der Erstellung des Protokolls vom ursprünglichen Entwurf bis zur finalen Fassung verfolgt. In dieser Zeit waren 28 aufeinanderfolgende Entwurfsversionen erforderlich, um letztendlich 2019 ein ausgewogenes und einfach bereitzustellendes Protokoll zu veröffentlichen. Die aktive Unterstützung von TLS 1.3 durch den Markt ist inzwischen offensichtlich: Die Einführung eines bewährten und zuverlässigen Sicherheitsprotokolls entspricht den Anforderungen der Zeit.
Laut Eric Rescorla (technischer Direktor von Firefox und alleiniger Autor von TLS 1.3) :
„Es ist ein vollständiger Ersatz für TLS 1.2, das die gleichen Schlüssel und Zertifikate verwendet, sodass Client und Server automatisch über TLS 1.3 kommunizieren können, wenn beide es unterstützen“, sagte er. „Es gibt bereits gute Unterstützung auf Bibliotheksniveau, und Chrome sowie Firefox aktivieren TLS 1.3 standardmäßig.“
Gleichzeitig wird in der IETF TLS-Arbeitsgruppe , der ältere Versionen von TLS (außer TLS 1.2) als veraltet und ungeeignet erklärt. Wahrscheinlich wird das endgültige RFC bis Ende des Sommers veröffentlicht. Dies ist ein weiteres Signal an die IT-Branche: Die Aktualisierung von Verschlüsselungsprotokollen sollte nicht hinausgezögert werden.
Die Liste der aktuellen Implementierungen von TLS 1.3 ist auf Github verfügbar für alle, die nach der am besten geeigneten Bibliothek suchen: . Es ist offensichtlich, dass die Annahme und Unterstützung des aktualisierten Protokolls schnell voranschreiten wird – und bereits getan hat. Das Verständnis dafür, wie grundlegend Verschlüsselung in der modernen Welt geworden ist, hat sich weit verbreitet.
Was hat sich im Vergleich zu TLS 1.2 geändert?
Aus :
„Wie macht TLS 1.3 die Welt besser?
TLS 1.3 bietet bestimmte technische Vorteile, wie einen vereinfachten Handshake-Prozess zur Einrichtung einer sicheren Verbindung, und ermöglicht es den Kunden zudem, ihre Sitzungen schneller mit Servern wiederherzustellen. Diese Maßnahmen sollen die Verzögerung bei der Verbindungsherstellung und die Anzahl der fehlgeschlagenen Verbindungen über schwache Kanäle verringern, die oft als rechtfertigende Gründe für die Bereitstellung nur unverschlüsselter HTTP-Verbindungen herangezogen werden.
Ebenfalls wichtig ist, dass die Unterstützung mehrerer veralteter und unsicherer Verschlüsselungs- und Hash-Algorithmen, die in früheren Versionen von TLS weiterhin erlaubt (wenn auch nicht empfohlen) war, abgeschafft wurde, einschließlich SHA-1, MD5, DES, 3DES und AES-CBC, während gleichzeitig die Unterstützung neuer Cipher-Suiten hinzugefügt wurde. Weitere Verbesserungen umfassen mehr verschlüsselte Handshake-Elemente (z. B. wird nun der Austausch von Zertifikatsinformationen verschlüsselt), um die Anzahl der Hinweise für potenzielle Angreifer zu verringern, sowie Verbesserungen in Bezug auf die Forward Secrecy bei der Verwendung bestimmter Schlüsselwechselmodi, sodass die Verbindung zu jedem Zeitpunkt sicher bleiben sollte, selbst wenn die Algorithmen, die zu ihrer Verschlüsselung verwendet werden, in Zukunft kompromittiert werden.
Entwicklung moderner Protokolle und DDoS
Wie Sie vielleicht bereits gelesen haben, gab es während der Entwicklung des Protokolls , in der IETF TLS Arbeitsgruppe . Es ist bereits jetzt offensichtlich, dass einzelne Unternehmen (einschließlich Finanzinstitutionen) ihre Sicherheitsstrategien anpassen müssen, um sich an die im Protokoll implementierten Änderungen anzupassen. .
Die Gründe dafür werden in einem Dokument dargelegt, . In dem 20-seitigen Papier werden mehrere Beispiele genannt, wann ein Unternehmen möglicherweise den Out-of-Band-Traffic entschlüsseln möchte (was PFS nicht zulässt), um Monitoring, Compliance oder Schutz gegen DDoS-Angriffe auf Anwendungslevel (L7) zu gewährleisten.
Während wir sicherlich nicht bereit sind, über regulatorische Anforderungen zu diskutieren, bietet unser Produkt zur Neutralisierung von Anwendungs-DDoS-Angriffen (einschließlich einer Lösung, sensibler und/oder vertraulicher Informationen) wurde 2012 unter Berücksichtigung von PFS erstellt, sodass unsere Kunden und Partner nach der Aktualisierung der TLS-Version auf der Serverseite keine Änderungen an ihrer Infrastruktur vornehmen mussten.
Darüber hinaus gab es seit der Implementierung keine Probleme im Zusammenhang mit der Transportverschlüsselung. Offiziell: TLS 1.3 ist bereit für die Nutzung in der Produktion.
Es gibt jedoch ein Problem, das mit der Entwicklung von Protokollen der nächsten Generation verbunden ist. Es besteht darin, dass der Fortschritt in der Entwicklung von Protokollen im IETF stark von den Ergebnissen der wissenschaftlichen Forschung abhängt, und der Stand der akademischen Forschung im Bereich der Neutralisierung von Verteilten DoS-Angriffen ist leider besorgniserregend.
Ein gutes Beispiel dafür kann sein der IETF-Draft "QUIC Manageability", der Teil des zukünftigen QUIC-Protokollsatzes ist: darin heißt es, dass "moderne Methoden zur Erkennung und Neutralisierung [von DDoS-Angriffen] in der Regel passive Messungen mit Netzwerkflussdaten umfassen."
Letzteres ist in der Tat sehr selten in realen Unternehmensumgebungen anzutreffen (und nur teilweise bei Internetdienstanbietern anwendbar) und ist in jedem Fall kaum ein "Allgemeinfall" in der realen Welt – wird aber ständig in wissenschaftlichen Publikationen zitiert, die in der Regel nicht durch Tests des gesamten Spektrums potenzieller DDoS-Angriffe, einschließlich der Angriffe auf Anwendungsebene, gestützt werden. Letztere, angesichts der weltweiten Verbreitung von TLS, können offensichtlich nicht durch passive Messungen von Netzwerkpaketen und -flüssen erkannt werden.
Ebenso wissen wir derzeit nicht, wie DDoS-Neutralisierungsgerätehersteller sich an die Gegebenheiten von TLS 1.3 anpassen werden. Aufgrund der technischen Komplexität der Unterstützung eines Out-of-Band-Protokolls könnte es einige Zeit dauern, bis ein Upgrade erfolgt.
Die richtigen Ziele für die wissenschaftliche Forschung zu setzen, ist eine ernsthafte Aufgabe für DDoS-Neutralisierungsdienstanbieter. Ein Bereich, in dem die Entwicklung beginnen kann, ist Im IRTF, wo Forscher mit der Branche zusammenarbeiten können, um ihr Wissen in einem Problemfeld zu vertiefen und neue Forschungsrichtungen zu finden. Wir heißen auch alle Forscher herzlich willkommen, sofern vorhanden — Sie können uns zu Fragen oder Vorschlägen im Zusammenhang mit DDoS-Forschungen oder der SMART-Forschungsgruppe unterhalb kontaktieren
Quelle: habr.com
