{"id":33503,"date":"2019-10-31T21:52:58","date_gmt":"2019-10-31T18:52:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa\/"},"modified":"2019-10-31T21:52:58","modified_gmt":"2019-10-31T18:52:58","slug":"kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","title":{"rendered":"Kuidas DNSCrypt lahendas aegunud sertifikaatide probleemi, kehtestades 24-tunnise kehtivusaja","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Kuidas
\n
\nVarem tekkisid sertifikaatide aegumised sageli seet\u00f5ttu, et neid pidi k\u00e4sitsi uuendama. Inimesed unustasid selle lihtsalt teha. Let\u2019s Encrypt'i ja automaatse uuendamisprotseduuri tulekuga pidi probleem olema lahendatud. Kuid hiljutine lugu Firefoxist<\/a><\/noindex> n\u00e4itab, et tegelikult on probleem endiselt aktuaalne. Kahjuks j\u00e4tkavad sertifikaadid aegumist.<\/p>\n

Kui keegi on selle loo vahele j\u00e4tnud, siis 4. mai 2019. aastal kell 00:00 lakkas \u00e4kki t\u00f6\u00f6tamast peaaegu k\u00f5ik Firefoxi lisandmoodulid.
\n<\/a><\/noindex>
\nSelgus, et massiline viga tekkis, kuna Mozilla sertifikaadi kehtivusaeg<\/a><\/noindex>oli l\u00f5ppenud, mis oli m\u00f5eldud lisandmoodulite allkirjastamiseks. Seet\u00f5ttu m\u00e4rgiti need \"kehtetuks\" ja nad ei l\u00e4binud kontrolli (tehnilised \u00fcksikasjad<\/a><\/noindex>). Foorumites soovitati t\u00f6\u00f6 \u00fcmberh\u00fcppamiseks v\u00e4lja l\u00fclitada lisandmoodulite allkirjade kontrollimine about:config<\/i> v\u00f5i s\u00fcsteemi kella seadistamine.<\/p>\n

Mozilla v\u00e4ljastas kiiresti paranduse Firefox 66.0.4, mis lahendab kehtetu sertifikaadi probleemi, ja k\u00f5ik lisandmoodulid naasevad normaalsesse seisundisse. Arendajad soovitavad selle installida ja mitte kasutada<\/a><\/noindex> mingeid omap\u00e4raseid lahendusi allkirjade kontrollimise \u00fcmbersuunamiseks, kuna need v\u00f5ivad konflikteerida parandusega.<\/p>\n

Kuid see lugu n\u00e4itab taas, et sertifikaatide aegumine j\u00e4\u00e4b t\u00e4nap\u00e4eval olulisel kohal.<\/p>\n

Seet\u00f5ttu on huvitav vaadata \u00fcsna originaalset l\u00e4henemist sellele probleemile, kuidas DNSCrypt protokolli arendajad selle \u00fclesandega hakkama said. DNSCrypt<\/a><\/noindex>. Nende lahendust v\u00f5ib jagada kaheks osaks. Esiteks, need on l\u00fchiajalised sertifikaadid. Teiseks teavitavad nad kasutajaid pikaajaliste aegumisest.<\/p>\n

DNSCrypt<\/h1>\n

\n\"KuidasDNSCrypt on DNS-i liikluse kr\u00fcptimise protokoll. See kaitseb DNS-kommunikatsiooni pealtkuulamise ja MiTM-i r\u00fcnnakute eest ning v\u00f5imaldab k\u00f5rvaldada DNS-i p\u00e4ringute taseme blokeerimisi.<\/p>\n

Protokoll m\u00e4hkib DNS-i liikluse kliendi ja serveri vahel kr\u00fcptograafilisse struktuuri, t\u00f6\u00f6tades UDP ja TCP transpordiprotokollide kaudu. Selle kasutamiseks peavad nii klient kui ka DNS-i lahendaja toetama DNSCrypt'i. N\u00e4iteks on jaanuarist 2016. aastast seda aktiivselt toetanud oma DNS-serverites ja Yandex'i brauseris. Toetust on kuulutanud v\u00e4lja ka m\u00f5ned teised teenusepakkujad, sealhulgas Google ja Cloudflare. Kahjuks ei ole neid nii palju (ametlikul veebilehel on loetletud 152 avalikku DNS-serverit). Kuid programm dnscrypt-proxy<\/a><\/noindex> saab installida k\u00e4sitsi Linuxi, Windowsi ja MacOS-i klientidesse. On ka serveri rakendusi<\/a><\/noindex>.<\/p>\n

\"Kuidas
\n
\nKuidas DNSCrypt t\u00f6\u00f6tab? L\u00fchidalt, klient v\u00f5tab valitud teenusepakkuja avaliku v\u00f5tme ja kasutab seda sertifikaatide kontrolimiseks. Seal on l\u00fchiajalised avalikud v\u00f5tmed sessioonide jaoks ja kr\u00fcptograafia komplekti identifikaator. Klientidele soovitatakse genereerida uus v\u00f5ti iga p\u00e4ringu jaoks, serveritele aga muuta v\u00f5tmeid iga 24 tunni j\u00e4rel<\/b>. V\u00f5tmete vahetamisel kasutatakse algoritmi X25519, allkirjastamiseks EdDSA, plokkkr\u00fcpteerimiseks aga XSalsa20-Poly1305 v\u00f5i XChaCha20-Poly1305.<\/p>\n

\u00dcks protokolli arendajatest Frank Denis kirjutab<\/a><\/noindex>, et automaatne vahetamine iga 24 tunni j\u00e4rel lahendas aegunud sertifikaatide probleemi. Tegelikult aktsepteerib dnscrypt-proxy standardklient sertifikaate, mille kehtivusaeg on mis tahes, kuid annab hoiatuse \"dnscrypt-proxy v\u00f5tmete periood selle serveri jaoks on liiga pikk\", kui see kehtib kauem kui 24 tundi. Samuti v\u00e4ljastati Docker'i pilt, millel rakendati v\u00f5tmete (ja sertifikaatide) kiire vahetus.<\/p>\n

Esiteks on see \u00e4\u00e4rmiselt kasulik turvalisuse jaoks: kui server on kompromiteeritud v\u00f5i v\u00f5ti on lekitatud, ei saa eilset liiklust dekr\u00fcpteerida. V\u00f5ti on juba muutunud. T\u00f5en\u00e4oliselt on see probleem \"Jarovaya seaduse\" rakendamisel, mis sunnib teenusepakkujaid hoidma kogu liiklust, sealhulgas kr\u00fcpteeritud. Eeldatakse, et hiljem saab seda vajadusel dekr\u00fcpteerida, k\u00fcsides v\u00f5tme saidilt. Kuid sellisel juhul ei saa sait lihtsalt seda esitada, kuna kasutatakse l\u00fchiajalisi v\u00f5tmeid, kustutades vanad.<\/p>\n

Kuid peamine, kirjutab Denis, on see, et l\u00fchiajalised v\u00f5tmed sunnivad servereid alates esimesest p\u00e4evast seadistama automatiseerimist. Kui server \u00fchineb v\u00f5rguga ja v\u00f5tme vahetamise skriptid ei ole seadistatud v\u00f5i ei t\u00f6\u00f6ta, tuvastatakse see kohe.<\/p>\n

Kui automatiseerimine vahetab v\u00f5tmeid iga paari aasta tagant, ei saa sellele loota, ja inimesed v\u00f5ivad unustada sertifikaadi kehtivusaja l\u00f5ppemise. Igal p\u00e4eval v\u00f5tmete vahetamisel tuvastatakse see kohe.<\/p>\n

Samas ajal, kui automatiseerimine on \u00f5igesti seadistatud, ei oma t\u00e4htsust, kui sageli v\u00f5tmeid vahetatakse: iga aasta, iga kvartali v\u00f5i isegi kolm korda p\u00e4evas. Kui k\u00f5ik t\u00f6\u00f6tab rohkem kui 24 tundi, siis see t\u00f6\u00f6tab igavesti, kirjutab Frank Denis. Tema s\u00f5nul v\u00e4hendas soovitus igap\u00e4evaseks v\u00f5tmete vahetamiseks protokolli teises versioonis koos selle rakendust Docker, mis seda ellu viib, t\u00f5husalt serverite arvu, mille sertifikaadid olid aegunud, samal ajal kui ka turvalisus paranes.<\/p>\n

Kuid m\u00f5ned teenusepakkujad otsustasid siiski mingitel tehnilistel p\u00f5hjustel seada sertifikaadi kehtivuse ajaks \u00fcle 24 tunni. Selle probleemi lahendasid peamiselt paar rida koodi dnscrypt-proxy's: kasutajad saavad teavitusteate 30 p\u00e4eva enne sertifikaadi aegumist, t\u00f5sisema teate 7 p\u00e4eva enne ning kriitilise teate, kui sertifikaadi kehtivus l\u00f5peb v\u00e4hem kui 24 tunni p\u00e4rast. See kehtib ainult sertifikaatidele, millel on algselt pikk kehtivusaeg.<\/p>\n

Sellised teated annavad kasutajatele v\u00f5imaluse teavitada DNS-i operaatorit sertifikaadi aegumise l\u00e4henevast t\u00e4htajast, enne kui on liiga hilja. <\/p>\n

V\u00f5ib-olla, kui k\u00f5ik Firefoxi kasutajad oleksid sellise teate saanud, oleks keegi kindlasti arendajatele teate edastanud ja nad oleksid takistanud sertifikaadi aegumist. \"Ma ei m\u00e4leta \u00fchtegi DNSCrypt-serverit avalikku DNS-serverite nimekirjast, mille sertifikaadi kehtivus oleks l\u00f5ppenud viimase kahe v\u00f5i kolme aasta jooksul,\" kirjutab Frank Denis. Igatahes on ilmselt parem k\u00f5igepealt kasutajaid teavitada, kui keelata laiendusi ilma hoiatamata.<\/p>\n

\n\"Kuidas
\n<\/a><\/noindex>
\n
Allikas: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25203,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Kuidas DNSCrypt lahendas aegunud sertifikaatide probleemi, kehtestades 24-tunnise kehtivusaja | ProHoster","description":"Varem.","canonical_url":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"et_EE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a DNSCrypt \u0440\u0435\u0448\u0438\u043b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043f\u0440\u043e\u0441\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u0432\u0432\u0435\u0434\u044f \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f 24 \u0447\u0430\u0441\u0430 | ProHoster","og:description":"\u0420\u0430\u043d\u044c\u0448\u0435.","og:url":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:52:58+00:00","article:modified_time":"2019-10-31T18:52:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33503","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:31:39","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:31:39","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/33503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/comments?post=33503"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/33503\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media\/25203"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media?parent=33503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/categories?post=33503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/tags?post=33503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}