{"id":33503,"date":"2019-10-31T21:52:58","date_gmt":"2019-10-31T18:52:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa\/"},"modified":"2019-10-31T21:52:58","modified_gmt":"2019-10-31T18:52:58","slug":"kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","title":{"rendered":"Wie DNSCrypt das Problem mit abgelaufenen Zertifikaten l\u00f6ste, indem es eine G\u00fcltigkeitsdauer von 24 Stunden einf\u00fchrte","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Wie
\n
\nFr\u00fcher liefen Zertifikate oft ab, weil sie manuell aktualisiert werden mussten. Die Leute verga\u00dfen einfach, dies zu tun. Mit dem Auftauchen von Let\u2019s Encrypt und automatisierten Aktualisierungsprozessen sollte das Problem gel\u00f6st sein. Doch die j\u00fcngste Geschichte mit Firefox<\/a><\/noindex> zeigt, dass das Problem in Wirklichkeit nach wie vor besteht. Leider laufen die Zertifikate weiterhin ab.<\/p>\n

Falls jemand diese Geschichte verpasst hat, h\u00f6rten um Mitternacht am 4. Mai 2019 pl\u00f6tzlich fast alle Erweiterungen von Firefox auf zu funktionieren.
\n<\/a><\/noindex>
\nWie sich herausstellte, war ein massives Versagen aufgetreten, weil bei Mozilla das Ablaufdatum eines Zertifikats<\/a><\/noindex>, das zur Signierung der Erweiterungen verwendet wurde, abgelaufen war. Daher wurden sie als \"ung\u00fcltig\" markiert und bestanden die \u00dcberpr\u00fcfung nicht (technische Details<\/a><\/noindex>). In den Foren wurde empfohlen, entweder die \u00dcberpr\u00fcfung der Erweiterungssignaturen in about:config<\/i> oder die Systemuhrzeit zur\u00fcckzustellen.<\/p>\n

Mozilla ver\u00f6ffentlichte schnell ein Update f\u00fcr Firefox 66.0.4, das das Problem mit dem ung\u00fcltigen Zertifikat behebt, und alle Erweiterungen kehren zur Normalit\u00e4t zur\u00fcck. Die Entwickler empfehlen, es zu installieren und es nicht zu verwenden.<\/a><\/noindex> Es gibt keine Umgehungsm\u00f6glichkeiten f\u00fcr die \u00dcberpr\u00fcfung von Signaturen, da diese mit dem Patch in Konflikt geraten k\u00f6nnten.<\/p>\n

Dennoch zeigt diese Geschichte einmal mehr, dass das Ablaufen von Zertifikaten auch heute noch ein aktuelles Problem darstellt.<\/p>\n

In diesem Zusammenhang ist es interessant zu betrachten, wie die Entwickler des Protokolls diese Herausforderung auf eine recht originelle Weise gemeistert haben. DNSCrypt<\/a><\/noindex>. Ihre L\u00f6sung l\u00e4sst sich in zwei Teile unterteilen. Erstens, die kurzzeitigen Zertifikate. Zweitens, die Warnung der Nutzer vor dem Ablauf der langfristigen Zertifikate.<\/p>\n

DNSCrypt<\/h1>\n

\n\"WieDNSCrypt ist ein Protokoll zur Verschl\u00fcsselung von DNS-Verkehr. Es sch\u00fctzt die DNS-Kommunikationen vor Lauschangriffen und Man-in-the-Middle-Angriffen und erm\u00f6glicht es, DNS-Anfragen zu umgehen, die auf Blockierungen basieren.<\/p>\n

Das Protokoll verschl\u00fcsselt den DNS-Verkehr zwischen dem Client und dem Server in eine kryptografische Struktur, basierend auf den Transportprotokollen UDP und TCP. Um es zu verwenden, m\u00fcssen sowohl der Client als auch der DNS-Resolver DNSCrypt unterst\u00fctzen. So hat beispielsweise Yandex seit M\u00e4rz 2016 dieses Protokoll auf seinen DNS-Servern und im Browser implementiert. Auch andere Anbieter, darunter Google und Cloudflare, haben ihre Unterst\u00fctzung angek\u00fcndigt. Leider gibt es nicht viele davon (auf der offiziellen Website sind 152 \u00f6ffentliche DNS-Server aufgef\u00fchrt). Doch das Programm dnscrypt-proxy<\/a><\/noindex> l\u00e4sst sich manuell auf Clients unter Linux, Windows und MacOS installieren. Es gibt auch Serverimplementierungen.<\/a><\/noindex>.<\/p>\n

\"Wie
\n
\nWie funktioniert DNSCrypt? Kurz gesagt, der Client nimmt den \u00f6ffentlichen Schl\u00fcssel des gew\u00e4hlten Anbieters und \u00fcberpr\u00fcft damit seine Zertifikate. Dort befinden sich bereits kurzfristige \u00f6ffentliche Schl\u00fcssel f\u00fcr die Sitzung und eine Verschl\u00fcsselungsalgorithmus-ID. Es wird empfohlen, dass Clients f\u00fcr jede Anfrage einen neuen Schl\u00fcssel generieren und Server ihre Schl\u00fcssel alle 24 Stunden<\/b>. Bei der Schl\u00fcsselverteilung wird der Algorithmus X25519 verwendet, zur Signierung EdDSA und f\u00fcr die Blockverschl\u00fcsselung XSalsa20-Poly1305 oder XChaCha20-Poly1305.<\/p>\n

Einer der Entwickler des Protokolls, Frank Denis. Quartz berichtet, ist Madagaskar das einzige Land in Afrika, in dem die Downloadgeschwindigkeit f\u00fcr Inhalte \u00fcber 10 Mbit\/s liegt.<\/a><\/noindex>, dass der automatische Austausch alle 24 Stunden das Problem abgelaufener Zertifikate gel\u00f6st hat. Im Prinzip akzeptiert der Standard-Client dnscrypt-proxy Zertifikate mit jeder G\u00fcltigkeitsdauer, gibt jedoch eine Warnung aus: \u201eDie G\u00fcltigkeitsdauer der dnscrypt-proxy-Schl\u00fcssel f\u00fcr diesen Server ist zu lang\u201c, wenn sie l\u00e4nger als 24 Stunden g\u00fcltig sind. Gleichzeitig wurde ein Docker-Image ver\u00f6ffentlicht, in dem ein schneller Schl\u00fcsselwechsel (und Zertifikate) implementiert wurde.<\/p>\n

Zun\u00e4chst ist dies \u00e4u\u00dferst hilfreich f\u00fcr die Sicherheit: Wenn der Server kompromittiert ist oder der Schl\u00fcssel geleakt wurde, kann der gestrige Datenverkehr nicht entschl\u00fcsselt werden. Der Schl\u00fcssel wurde bereits ge\u00e4ndert. Wahrscheinlich wird dies ein Problem f\u00fcr die Umsetzung des \u201eJarowaja-Gesetzes\u201c darstellen, das Anbieter zwingt, gesamten Datenverkehr, einschlie\u00dflich verschl\u00fcsselter Daten, zu speichern. Es wird angenommen, dass dieser sp\u00e4ter bei Bedarf entschl\u00fcsselt werden kann, indem der Schl\u00fcssel von der Website angefordert wird. In diesem Fall kann die Website jedoch einfach nicht bereitgestellt werden, da sie kurzlebige Schl\u00fcssel verwendet und alte entfernt.<\/p>\n

Doch das Wichtigste, so Denis, ist, dass kurzlebige Schl\u00fcssel die Server ab dem ersten Tag zur Automatisierung zwingen. Wenn ein Server mit dem Netzwerk verbunden ist, und die Skripte zum Wechseln der Schl\u00fcssel nicht konfiguriert oder funktionsf\u00e4hig sind, wird dies sofort bemerkt.<\/p>\n

Wenn die Automatisierung die Schl\u00fcssel nur alle paar Jahre wechselt, kann man sich nicht darauf verlassen, und Menschen k\u00f6nnten das Ablaufdatum des Zertifikats vergessen. Bei t\u00e4glichen Schl\u00fcsselwechseln wird dies sofort erkannt.<\/p>\n

Gleichzeitig ist es unwichtig, wie oft die Schl\u00fcsselwechsel durchgef\u00fchrt werden, solange die Automatisierung richtig eingerichtet ist: einmal im Jahr, einmal im Quartal oder dreimal t\u00e4glich. Wenn alles l\u00e4nger als 24 Stunden funktioniert, wird es f\u00fcr immer funktionieren, schreibt Frank Denis. Seiner Meinung nach hat die Empfehlung, die Schl\u00fcssel t\u00e4glich zu wechseln, in der zweiten Version des Protokolls zusammen mit einem fertigen Docker-Image, das dies umsetzt, die Anzahl der Server mit abgelaufenen Zertifikaten erheblich reduziert und gleichzeitig die Sicherheit verbessert.<\/p>\n

Einige Anbieter haben aus technischen Gr\u00fcnden dennoch beschlossen, die G\u00fcltigkeitsdauer des Zertifikats auf mehr als 24 Stunden festzulegen. Dieses Problem wurde haupts\u00e4chlich durch einige Codezeilen im dnscrypt-proxy gel\u00f6st: Benutzer erhalten 30 Tage vor Ablauf des Zertifikats eine Informationswarnung, eine ernsthaftere Mitteilung 7 Tage vor Ablauf und eine kritische Nachricht, wenn weniger als 24 Stunden bis zum Ablauf verbleiben. Dies gilt nur f\u00fcr Zertifikate, die urspr\u00fcnglich eine l\u00e4ngere G\u00fcltigkeitsdauer hatten.<\/p>\n

Solche Mitteilungen geben den Benutzern die M\u00f6glichkeit, die DNS-Betreiber \u00fcber das bevorstehende Ablaufdatum des Zertifikats zu informieren, solange es noch nicht zu sp\u00e4t ist. <\/p>\n

Wahrscheinlich h\u00e4tten die Entwickler von Firefox von den Nutzern geh\u00f6rt, wenn alle eine solche Meldung erhalten h\u00e4tten, und sie h\u00e4tten das Ablaufen des Zertifikats verhindert. \"Ich kann mich an keinen DNSCrypt-Server aus der Liste der \u00f6ffentlichen DNS-Server erinnern, dessen Zertifikat in den letzten zwei oder drei Jahren abgelaufen ist,\" schreibt Frank Denis. In jedem Fall w\u00e4re es besser, die Nutzer zuerst zu warnen, als Erweiterungen ohne Vorwarnung zu deaktivieren.<\/p>\n

\n\"Wie
\n<\/a><\/noindex>
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25203,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wie DNSCrypt das Problem abgelaufener Zertifikate mit einer G\u00fcltigkeitsdauer von 24 Stunden gel\u00f6st hat | ProHoster","description":"Fr\u00fcher liefen Zertifikate oft ab, weil sie manuell erneuert werden mussten. Die Leute vergasen einfach, das zu tun. Mit dem Erscheinen von Let\u2019s Encrypt und automatischen Aktualisierungsverfahren sollte das Problem behoben sein. Aber die j\u00fcngste Geschichte mit Firefox zeigt, dass es in der Tat immer noch aktuell ist. Leider laufen Zertifikate weiterhin ab. Falls jemand diese Geschichte verpasst hat, in","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a DNSCrypt \u0440\u0435\u0448\u0438\u043b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043f\u0440\u043e\u0441\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u0432\u0432\u0435\u0434\u044f \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f 24 \u0447\u0430\u0441\u0430 | ProHoster","og:description":"\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:52:58+00:00","article:modified_time":"2019-10-31T18:52:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33503","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:31:39","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:31:39"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=33503"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33503\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/25203"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=33503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=33503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=33503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}