{"id":33503,"date":"2019-10-31T21:52:58","date_gmt":"2019-10-31T18:52:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa\/"},"modified":"2019-10-31T21:52:58","modified_gmt":"2019-10-31T18:52:58","slug":"kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","title":{"rendered":"C\u00f3mo DNSCrypt resolvi\u00f3 el problema de los certificados caducados, introduciendo un per\u00edodo de validez de 24 horas.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"C\u00f3mo
\n
\nAntes, los certificados a menudo caducaban porque ten\u00edan que actualizarse manualmente. La gente simplemente olvidaba hacerlo. Con la llegada de Let\u2019s Encrypt y el procedimiento de actualizaci\u00f3n autom\u00e1tica, se supon\u00eda que el problema estar\u00eda resuelto. Pero una reciente historia con Firefox<\/a><\/noindex> demuestra que, en realidad, sigue siendo un problema actual. Desafortunadamente, los certificados contin\u00faan caducando.<\/p>\n

Si alguien se perdi\u00f3 esta historia, a la medianoche del 4 de mayo de 2019, casi todas las extensiones de Firefox dejaron de funcionar de repente.
\n<\/a><\/noindex>
\nComo result\u00f3, un fallo masivo ocurri\u00f3 porque Mozilla hab\u00eda dejado expirar un certificado<\/a><\/noindex>, que se utilizaba para firmar las extensiones. Por lo tanto, se marcaron como \"no v\u00e1lidas\" y no pasaron la verificaci\u00f3n (detalles t\u00e9cnicos<\/a><\/noindex>). En los foros, se sugiri\u00f3 como soluci\u00f3n desactivar la verificaci\u00f3n de firmas de extensiones en about:config<\/i> o cambiar la hora del sistema.<\/p>\n

Mozilla r\u00e1pidamente lanz\u00f3 un parche para Firefox 66.0.4, que soluciona el problema con el certificado no v\u00e1lido, y todas las extensiones volvieron a la normalidad. Los desarrolladores recomiendan instalarlo y no usar<\/a><\/noindex> ninguna soluci\u00f3n alternativa para eludir la verificaci\u00f3n de firmas, ya que pueden conflictuar con el parche.<\/p>\n

Sin embargo, esta historia una vez m\u00e1s muestra que la expiraci\u00f3n de certificados sigue siendo un problema actual hoy en d\u00eda.<\/p>\n

En este sentido, es interesante observar un enfoque bastante original que los desarrolladores del protocolo DNSCrypt<\/a><\/noindex>. Su soluci\u00f3n se puede dividir en dos partes. Primero, se trata de certificados a corto plazo. En segundo lugar, la advertencia a los usuarios sobre la caducidad de los a largo plazo.<\/p>\n

DNSCrypt<\/h1>\n

\n\"C\u00f3moDNSCrypt es un protocolo de encriptaci\u00f3n del tr\u00e1fico DNS. Protege las comunicaciones DNS de interceptaciones y MiTM, y permite evitar bloqueos a nivel de consultas DNS.<\/p>\n

El protocolo envuelve el tr\u00e1fico DNS entre el cliente y el servidor en una estructura criptogr\u00e1fica, operando sobre los protocolos de transporte UDP y TCP. Para usarlo, tanto el cliente como el resolvedor DNS deben soportar DNSCrypt. Por ejemplo, desde marzo de 2016, Yandex lo habilit\u00f3 en sus servidores DNS y en el navegador. Algunos otros proveedores, incluidos Google y Cloudflare, tambi\u00e9n anunciaron su soporte. Desafortunadamente, no son muchos (en el sitio web oficial se listan 152 servidores DNS p\u00fablicos). Pero el programa dnscrypt-proxy<\/a><\/noindex> se puede instalar manualmente en clientes bajo Linux, Windows y MacOS. Tambi\u00e9n hay implementaciones en servidor<\/a><\/noindex>.<\/p>\n

\"C\u00f3mo
\n
\n\u00bfC\u00f3mo funciona DNSCrypt? En resumen, el cliente toma la clave p\u00fablica del proveedor elegido y con ella verifica sus certificados. All\u00ed se encuentran las claves p\u00fablicas a corto plazo para la sesi\u00f3n y el identificador del conjunto de cifrados. Se recomienda a los clientes generar una nueva clave para cada solicitud, y a los servidores cambiar las claves cada 24 horas<\/b>. Se utiliza el algoritmo X25519 para el intercambio de claves, EdDSA para la firma, y XSalsa20-Poly1305 o XChaCha20-Poly1305 para el cifrado por bloques.<\/p>\n

Uno de los desarrolladores del protocolo, Frank Denis Quartz, Madagascar es el \u00fanico pa\u00eds en \u00c1frica donde la velocidad de descarga de contenido supera los 10 Mbps.<\/a><\/noindex>, observ\u00f3 que el cambio autom\u00e1tico cada 24 horas resolvi\u00f3 el problema de los certificados caducados. En general, el cliente de referencia dnscrypt-proxy acepta certificados con cualquier duraci\u00f3n, pero emite una advertencia \"El per\u00edodo de claves dnscrypt-proxy para este servidor es demasiado largo\" si es v\u00e1lido por m\u00e1s de 24 horas. Simult\u00e1neamente se lanz\u00f3 una imagen de Docker que implementar\u00eda un cambio r\u00e1pido de claves (y certificados).<\/p>\n

En primer lugar, esto es extremadamente \u00fatil para la seguridad: si el servidor est\u00e1 comprometido o la clave se filtra, el tr\u00e1fico de ayer no puede ser descifrado. La clave ya ha cambiado. Probablemente, esto representar\u00e1 un problema para la ejecuci\u00f3n de la \"ley Yarovaya\", que obliga a los proveedores a almacenar todo el tr\u00e1fico, incluido el cifrado. Se supone que m\u00e1s tarde podr\u00e1 ser descifrado si es necesario, solicitando la clave al sitio. Pero en este caso, el sitio simplemente no podr\u00e1 proporcionarla, porque utiliza claves temporales, eliminando las antiguas.<\/p>\n

Pero lo m\u00e1s importante, escribe Denis, es que las claves a corto plazo obligan a los servidores a configurar la automatizaci\u00f3n desde el primer d\u00eda. Si el servidor se conecta a la red y los scripts de cambio de claves no est\u00e1n configurados o no funcionan, esto se detectar\u00e1 de inmediato.<\/p>\n

Cuando la automatizaci\u00f3n cambia las claves cada varios a\u00f1os, no se puede confiar en ella, y las personas pueden olvidar la fecha de caducidad del certificado. Con el cambio diario de claves, esto se detectar\u00e1 de inmediato.<\/p>\n

Al mismo tiempo, si la automatizaci\u00f3n est\u00e1 configurada correctamente, no importa con qu\u00e9 frecuencia se cambian las claves: cada a\u00f1o, cada trimestre o tres veces al d\u00eda. Si todo funciona m\u00e1s de 24 horas, funcionar\u00e1 para siempre, escribe Frank Denis. Seg\u00fan \u00e9l, la recomendaci\u00f3n de cambiar las claves a diario en la segunda versi\u00f3n del protocolo, junto con una imagen de Docker implementada para ello, ha reducido efectivamente la cantidad de servidores con certificados caducados, al mismo tiempo que ha mejorado la seguridad.<\/p>\n

Sin embargo, algunos proveedores decidieron, por razones t\u00e9cnicas, establecer un per\u00edodo de validez del certificado de m\u00e1s de 24 horas. Este problema se resolvi\u00f3 principalmente con unas pocas l\u00edneas de c\u00f3digo en dnscrypt-proxy: los usuarios reciben una advertencia informativa 30 d\u00edas antes de que expire el certificado, otro mensaje de mayor gravedad 7 d\u00edas antes de la expiraci\u00f3n y un mensaje cr\u00edtico si le quedan menos de 24 horas al certificado. Esto se aplica solo a los certificados que originalmente tienen un largo per\u00edodo de validez.<\/p>\n

Estos mensajes permiten a los usuarios informar a los operadores de DNS sobre la pr\u00f3xima expiraci\u00f3n del certificado, antes de que sea demasiado tarde. <\/p>\n

Quiz\u00e1s, si todos los usuarios de Firefox hubieran recibido dicho mensaje, alguien definitivamente habr\u00eda informado a los desarrolladores y ellos no habr\u00edan permitido que el certificado expirara. 'No recuerdo ning\u00fan servidor DNSCrypt de la lista de servidores DNS p\u00fablicos que haya tenido un certificado caducado en los \u00faltimos dos o tres a\u00f1os', escribe Frank Denis. En cualquier caso, es mejor advertir a los usuarios primero, en lugar de desactivar las extensiones sin previo aviso.<\/p>\n

\n\"C\u00f3mo
\n<\/a><\/noindex>
\n
Fuente: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25203,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47C\u00f3mo DNSCrypt resolvi\u00f3 el problema de los certificados caducados al introducir un per\u00edodo de validez de 24 horas | ProHoster","description":"Antes.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a DNSCrypt \u0440\u0435\u0448\u0438\u043b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043f\u0440\u043e\u0441\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u0432\u0432\u0435\u0434\u044f \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f 24 \u0447\u0430\u0441\u0430 | ProHoster","og:description":"\u0420\u0430\u043d\u044c\u0448\u0435.","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:52:58+00:00","article:modified_time":"2019-10-31T18:52:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33503","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:31:39","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:31:39","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/33503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=33503"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/33503\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/25203"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=33503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=33503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=33503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}