{"id":33503,"date":"2019-10-31T21:52:58","date_gmt":"2019-10-31T18:52:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa\/"},"modified":"2019-10-31T21:52:58","modified_gmt":"2019-10-31T18:52:58","slug":"kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","title":{"rendered":"Wie DNSCrypt das Problem abgelaufener Zertifikate gel\u00f6st hat, indem es eine Laufzeit von 24 Stunden eingef\u00fchrt hat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Wie
\n
\nFr\u00fcher liefen Zertifikate h\u00e4ufig ab, weil sie manuell aktualisiert werden mussten. Die Leute verga\u00dfen einfach, dies zu tun. Mit dem Auftauchen von Let's Encrypt und dem automatischen Aktualisierungsprozess sollte das Problem gel\u00f6st sein. Aber die j\u00fcngste Geschichte mit Firefox<\/a><\/noindex> zeigt, dass es in Wirklichkeit nach wie vor aktuell ist. Leider laufen die Zertifikate weiterhin ab.<\/p>\n

Falls jemand diese Geschichte verpasst hat: Um Mitternacht am 4. Mai 2019 h\u00f6rten pl\u00f6tzlich fast alle Firefox-Erweiterungen auf zu funktionieren.
\n<\/a><\/noindex>
\nWie sich herausstellte, trat der massenhafte Ausfall auf, weil bei Mozilla das Ablaufdatum des Zertifikats<\/a><\/noindex>, das zur Signierung der Erweiterungen verwendet wurde, abgelaufen war. Daher wurden sie als \u201eung\u00fcltig\u201c markiert und bestanden die Pr\u00fcfung nicht (technische Details<\/a><\/noindex>). In den Foren wurde als \u00dcbergangsl\u00f6sung empfohlen, die \u00dcberpr\u00fcfung der Signaturen von Erweiterungen in about:config<\/i> oder durch Zur\u00fccksetzen der Systemuhr zu deaktivieren.<\/p>\n

Mozilla ver\u00f6ffentlichte umgehend den Patch Firefox 66.0.4, der das Problem mit dem ung\u00fcltigen Zertifikat behebt, und alle Erweiterungen kehren in ihren normalen Zustand zur\u00fcck. Die Entwickler empfehlen, ihn zu installieren und keine<\/a><\/noindex> Umgehungsl\u00f6sungen f\u00fcr die \u00dcberpr\u00fcfung der Signaturen zu verwenden, da diese mit dem Patch in Konflikt stehen k\u00f6nnten.<\/p>\n

Dennoch zeigt diese Geschichte einmal mehr, dass die Ablauffrage von Zertifikaten nach wie vor ein aktuelles Problem ist.<\/p>\n

In diesem Zusammenhang ist es interessant zu sehen, wie die Entwickler des Protokolls DNSCrypt<\/a><\/noindex>dieses Problem auf recht originelle Weise gel\u00f6st haben. Ihre L\u00f6sung kann in zwei Teile unterteilt werden. Erstens sind es kurzfristige Zertifikate. Zweitens die Warnung an die Benutzer \u00fcber das Ablaufdatum von langfristigen.<\/p>\n

DNSCrypt<\/h1>\n

\n\"WieDNSCrypt ist ein Protokoll zur Verschl\u00fcsselung von DNS-Verkehr. Es sch\u00fctzt die DNS-Kommunikation vor Abh\u00f6r und Man-in-the-Middle-Angriffen und erm\u00f6glicht es, DNS-Anfragen zu umgehen.<\/p>\n

Das Protokoll kapselt den DNS-Verkehr zwischen Client und Server in eine kryptografische Konstruktion und arbeitet \u00fcber die Transportprotokolle UDP und TCP. Um es zu verwenden, m\u00fcssen sowohl der Client als auch der DNS-Resolver DNSCrypt unterst\u00fctzen. Zum Beispiel hat Yandex seit M\u00e4rz 2016 es auf seinen DNS-Servern und im Browser aktiviert. Auch einige andere Anbieter, darunter Google und Cloudflare, haben ihre Unterst\u00fctzung angek\u00fcndigt. Leider sind es nicht so viele (auf der offiziellen Website sind 152 \u00f6ffentliche DNS-Server aufgelistet). Aber das Programm dnscrypt-proxy<\/a><\/noindex> Man kann es manuell auf Clients unter Linux, Windows und MacOS installieren. Es gibt auch Serverimplementierungen<\/a><\/noindex>.<\/p>\n

\"Wie
\n
\nWie funktioniert DNSCrypt? Kurz gesagt, der Client nimmt den \u00f6ffentlichen Schl\u00fcssel des gew\u00e4hlten Anbieters und \u00fcberpr\u00fcft mit diesem dessen Zertifikate. Dort befinden sich kurzfristige \u00f6ffentliche Schl\u00fcssel f\u00fcr die Sitzung und eine Kennung der Verschl\u00fcsselungss\u00e4tze. Es wird empfohlen, dass Clients f\u00fcr jede Anfrage einen neuen Schl\u00fcssel generieren, w\u00e4hrend Server die Schl\u00fcssel alle 24 Stunden wechseln<\/b>. Bei der Schl\u00fcssel\u00fcbergabe wird der Algorithmus X25519 verwendet, f\u00fcr die Signatur - EdDSA, f\u00fcr die Blockverschl\u00fcsselung - XSalsa20-Poly1305 oder XChaCha20-Poly1305.<\/p>\n

Einer der Entwickler des Protokolls, Frank Denis berichtet<\/a><\/noindex>, stellte fest, dass der automatische Wechsel alle 24 Stunden das Problem abgelaufener Zertifikate l\u00f6ste. Grunds\u00e4tzlich akzeptiert der Referenz-Client dnscrypt-proxy Zertifikate mit jeder G\u00fcltigkeitsdauer, gibt jedoch die Warnung \"Der Zeitraum der dnscrypt-proxy-Schl\u00fcssel f\u00fcr diesen Server ist zu lang\" aus, wenn es l\u00e4nger als 24 Stunden g\u00fcltig ist. Gleichzeitig wurde ein Docker-Image ver\u00f6ffentlicht, in dem ein schneller Schl\u00fcsselwechsel (und Zertifikate) implementiert wurde.<\/p>\n

Erstens ist das \u00e4u\u00dferst n\u00fctzlich f\u00fcr die Sicherheit: Wenn der Server kompromittiert wird oder der Schl\u00fcssel geleakt ist, kann der Datenverkehr von gestern nicht entschl\u00fcsselt werden. Der Schl\u00fcssel hat sich bereits ge\u00e4ndert. Dies k\u00f6nnte ein Problem f\u00fcr die Umsetzung des \"Jarowoj-Gesetzes\" darstellen, das Anbieter zwingt, den gesamten Verkehr, einschlie\u00dflich verschl\u00fcsselten, zu speichern. Es wird vermutet, dass es sp\u00e4ter bei Bedarf entschl\u00fcsselt werden kann, indem der Schl\u00fcssel von der Website angefordert wird. In diesem Fall kann die Website jedoch einfach nicht bereitstellen, weil sie kurzfristige Schl\u00fcssel verwendet und alte l\u00f6scht.<\/p>\n

Aber das Wichtigste, schreibt Denis, ist, dass die kurzfristigen Schl\u00fcssel die Server von Anfang an zur Automatisierung zwingen. Wenn ein Server mit dem Netzwerk verbunden ist und die Skripte zum Wechseln der Schl\u00fcssel nicht eingerichtet oder nicht funktionsf\u00e4hig sind, wird das sofort erkannt.<\/p>\n

Wenn die Automatisierung die Schl\u00fcssel alle paar Jahre wechselt, kann man sich nicht darauf verlassen, und die Leute k\u00f6nnten das Ablaufdatum des Zertifikats vergessen. Bei einem t\u00e4glichen Wechsel der Schl\u00fcssel wird dies sofort erkannt.<\/p>\n

Es spielt keine Rolle, wie oft die Schl\u00fcssel gewechselt werden: jedes Jahr, jedes Quartal oder dreimal am Tag, solange die Automatisierung richtig eingestellt ist. Wenn alles \u00fcber 24 Stunden funktioniert, wird es ewig funktionieren, schreibt Frank Denis. Seiner Meinung nach hat die Empfehlung, die Schl\u00fcssel t\u00e4glich zu wechseln, in der zweiten Version des Protokolls, zusammen mit dem Docker-Image, das dies umsetzt, die Anzahl der Server mit abgelaufenen Zertifikaten effektiv reduziert und gleichzeitig die Sicherheit verbessert.<\/p>\n

Einige Anbieter haben jedoch aus bestimmten technischen Gr\u00fcnden beschlossen, die G\u00fcltigkeitsdauer des Zertifikats auf mehr als 24 Stunden festzulegen. Dieses Problem wurde haupts\u00e4chlich mit einigen Codezeilen im dnscrypt-proxy gel\u00f6st: Die Benutzer erhalten eine Informationswarnung 30 Tage vor dem Ablauf des Zertifikats, eine weitere Nachricht mit h\u00f6herem Ernstheitsgrad 7 Tage vor dem Ablauf und eine kritische Nachricht, wenn dem Zertifikat weniger als 24 Stunden bleiben. Dies betrifft nur Zertifikate, die urspr\u00fcnglich eine lange G\u00fcltigkeit haben.<\/p>\n

Solche Nachrichten geben den Benutzern die M\u00f6glichkeit, die DNS-Betreiber \u00fcber das bevorstehende Ablaufdatum des Zertifikats zu informieren, bevor es zu sp\u00e4t ist. <\/p>\n

Wenn alle Firefox-Benutzer eine solche Nachricht erhalten h\u00e4tten, w\u00e4re sicherlich jemand den Entwicklern mitteilen und so ein Ablauf des Zertifikats h\u00e4tte verhindert werden k\u00f6nnen. \"Ich kann mich an keinen DNSCrypt-Server aus der Liste der \u00f6ffentlichen DNS-Server erinnern, dessen Zertifikat in den letzten zwei oder drei Jahren abgelaufen ist\", schreibt Frank Denis. In jedem Fall ist es wahrscheinlich besser, die Benutzer zun\u00e4chst zu warnen, als Erweiterungen ohne Vorwarnung zu deaktivieren.<\/p>\n

\n\"Wie
\n<\/a><\/noindex>
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25203,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wie DNSCrypt das Problem abgelaufener Zertifikate mit einer G\u00fcltigkeit von 24 Stunden gel\u00f6st hat | ProHoster","description":"Fr\u00fcher.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a DNSCrypt \u0440\u0435\u0448\u0438\u043b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043f\u0440\u043e\u0441\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u0432\u0432\u0435\u0434\u044f \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f 24 \u0447\u0430\u0441\u0430 | ProHoster","og:description":"\u0420\u0430\u043d\u044c\u0448\u0435.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:52:58+00:00","article:modified_time":"2019-10-31T18:52:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33503","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:31:39","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:31:39","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=33503"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33503\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/25203"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=33503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=33503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=33503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}