Zu Beginn des Jahres, in dem Bericht über Probleme und Verfügbarkeit des Internets für 2018-2019 , dass die Verbreitung von TLS 1.3 unvermeidlich ist. Vor einiger Zeit haben wir selbst Version 1.3 des Transport Layer Security-Protokolls implementiert und sind nun, nach der Datensammlung und Analyse, bereit, die Besonderheiten dieses Übergangs mit Ihnen zu teilen.
Die Vorsitzenden der IETF TLS Arbeitsgruppe :
„Kurz gesagt, TLS 1.3 soll eine Grundlage für ein sichereres und effizienteres Internet für die nächsten 20 Jahre bieten.“
Entwicklung hat 10 lange Jahre gedauert. Wir von Qrator Labs haben, zusammen mit der gesamten Branche, den Prozess der Entwicklung des Protokolls von dem ursprünglichen Entwurf an aufmerksam verfolgt. In dieser Zeit waren 28 aufeinanderfolgende Entwurfsversionen erforderlich, um schließlich im Jahr 2019 ein ausgewogenes und einfach bereitzustellendes Protokoll vorzustellen. Die aktive Unterstützung von TLS 1.3 durch den Markt ist bereits offensichtlich: die Implementierung dieses bewährten und zuverlässigen Sicherheitsprotokolls erfüllt die Anforderungen der Zeit.
Laut Eric Rescorla (technischer Direktor von Firefox und einzelner Autor von TLS 1.3) :
„Dies ist ein vollständiger Ersatz für TLS 1.2, der dieselben Schlüssel und Zertifikate verwendet, sodass Client und Server automatisch über TLS 1.3 kommunizieren können, wenn beide es unterstützen“, sagte er. „Es gibt bereits gute Unterstützung auf Bibliotheksebene, und Chrome sowie Firefox aktivieren TLS 1.3 standardmäßig.“
Parallel dazu endet in der IETF-Arbeitsgruppe TLS , der alte Versionen von TLS (außer TLS 1.2) als obsolet und unbrauchbar erklärt. Wahrscheinlich wird das endgültige RFC bis Ende Sommer veröffentlicht. Das ist ein weiteres Signal an die IT-Industrie: Die Aktualisierung der Verschlüsselungsprotokolle sollte nicht aufgeschoben werden.
Eine Liste der aktuellen Implementierungen von TLS 1.3 ist auf Github verfügbar für alle, die nach der am besten geeigneten Bibliothek suchen: . Offensichtlich wird die Akzeptanz und Unterstützung des aktualisierten Protokolls – und geschieht bereits – rasant voranschreiten. Das Bewusstsein dafür, wie grundlegend Verschlüsselung in der modernen Welt geworden ist, hat sich weit verbreitet.
Was hat sich im Vergleich zu TLS 1.2 geändert?
Von :
„Wie verbessert TLS 1.3 die Welt?“
TLS 1.3 bietet bestimmte technische Vorteile – wie einen vereinfachten Handshake-Prozess zur Herstellung einer sicheren Verbindung – und ermöglicht es den Kunden zudem, ihre Sitzungen schneller mit Servern wiederherzustellen. Diese Maßnahmen zielen darauf ab, die Latenz bei der Verbindungsherstellung zu verringern und die Anzahl fehlgeschlagener Verbindungen über schwache Kanäle zu reduzieren, die häufig als Begründung für die Bereitstellung nur unverschlüsselter HTTP-Verbindungen verwendet werden.
Es ist ebenso wichtig, dass die Unterstützung für mehrere veraltete und unsichere Verschlüsselungs- und Hash-Algorithmen, die weiterhin (wenn auch nicht empfohlen) mit älteren Versionen von TLS verwendet werden dürfen, entfernt wurde. Dazu gehören SHA-1, MD5, DES, 3DES und AES-CBC. Gleichzeitig wurde die Unterstützung neuer Cipher-Suites hinzugefügt. Weitere Verbesserungen umfassen eine größere Anzahl verschlüsselter Handshake-Elemente (zum Beispiel wird nun der Austausch von Zertifikatsinformationen verschlüsselt), um die mögliche Informationsaufnahme für einen Angreifer zu verringern, sowie Verbesserungen bei der Forward Secrecy bei der Verwendung bestimmter Schlüsselwechselmodi, sodass die Kommunikation jederzeit sicher bleiben sollte, selbst wenn die zur Verschlüsselung verwendeten Algorithmen in Zukunft kompromittiert werden.
Entwicklung moderner Protokolle und DDoS
Wie Sie vielleicht schon gelesen haben, während der Entwicklung des Protokolls , gab es im IETF TLS Arbeitsgruppe . Es ist bereits offensichtlich, dass Unternehmen (einschließlich Finanzinstitutionen) ihre Netzwerksicherheitsstrategien anpassen müssen, um den mittlerweile im Protokoll integrierten Anforderungen gerecht zu werden. .
Die Gründe, warum dies erforderlich sein könnte, sind im Dokument dargelegt, . In dem 20-seitigen Dokument werden mehrere Beispiele genannt, wann ein Unternehmen möglicherweise den Out-of-Band-Verkehr entschlüsseln möchte (was PFS nicht zulässt), um Monitoring, Compliance oder Schutz vor DDoS-Angriffen auf Anwendungsebene (L7) zu gewährleisten.
Obwohl wir definitiv nicht bereit sind, über regulatorische Anforderungen zu diskutieren, wurde unser eigenes Produkt zur Neutralisierung von DDoS-Angriffen auf Anwendungsebene (einschließlich einer Lösung, sensibler und/oder vertraulicher Informationen) 2012 unter Berücksichtigung von PFS entwickelt, sodass unsere Kunden und Partner nach dem TLS-Update auf der Serverseite keine Änderungen an ihrer Infrastruktur vornehmen mussten.
Bisher gab es seit der Implementierung keine Probleme mit der Transportverschlüsselung. Offiziell: TLS 1.3 ist bereit für den produktiven Einsatz.
Es gibt jedoch ein Problem im Zusammenhang mit der Entwicklung von Protokollen der nächsten Generation. Dieses Problem besteht darin, dass der Fortschritt in der Protokollentwicklung bei der IETF stark von den Ergebnissen der wissenschaftlichen Forschung abhängt, und der aktuelle Stand der akademischen Forschung im Bereich der Neutralisierung verteilter Denial-of-Service-Angriffe ist äußerst besorgniserregend.
Ein gutes Beispiel ist des IETF-Entwurfs „QUIC Manageability“, der Teil des zukünftigen QUIC-Protokollsatzes ist: Darin wird gesagt, dass „moderne Methoden zur Erkennung und Neutralisierung von [DDoS-Angriffen] normalerweise passive Messungen unter Verwendung von Daten zu Netzwerkströmen umfassen“.
Das Letzte kommt in realen Unternehmensumgebungen tatsächlich sehr selten vor (und ist nur teilweise auf Internetdienstanbieter anwendbar) und dürfte in jedem Fall kaum als "Regel" in der realen Welt gelten – wird jedoch häufig in wissenschaftlichen Publikationen erwähnt, die in der Regel nicht durch Tests des gesamten Spektrums potenzieller DDoS-Angriffe, einschließlich Angriffe auf Anwendungsebene, untermauert sind. Letztere können aufgrund der weltweiten Verbreitung von TLS offensichtlich nicht durch passive Messungen von Netzwerkpaketen und -strömen erkannt werden.
Ebenso wissen wir bisher nicht, wie Hersteller von DDoS-Abwehrgeräten sich an die Realitäten von TLS 1.3 anpassen werden. Aufgrund der technischen Komplexität der Unterstützung eines Out-of-Band-Protokolls kann es einige Zeit dauern, bis ein Upgrade erfolgt.
Die Festlegung richtiger Ziele für die Ausrichtung der wissenschaftlichen Forschung ist eine ernsthafte Herausforderung für Anbieter von DDoS-Abwehrdiensten. Ein Bereich, in dem man mit der Entwicklung beginnen kann, ist im IRTF, wo Forscher mit der Industrie zusammenarbeiten können, um ihr Wissen in ihrer Fachrichtung zu vertiefen und neue Forschungsrichtungen zu finden. Wir heißen alle Forscher herzlich willkommen, die Interesse haben – gerne können Sie uns zu Fragen oder Vorschlägen im Zusammenhang mit DDoS-Forschung oder der SMART-Forschungsgruppe kontaktieren unter
Quelle: habr.com
