Мы постоянно слышим фразу «национальная безопасность», но когда государство начинает следить за нашим общением, фиксируя его без веских подозрений, юридического основания и без какой-либо видимой цели, мы должны задать себе вопрос: они и в самом деле защищают национальную безопасность или они защищают свою собственную?
- Edward Snowden
Tämän tiivistelmän tarkoituksena on lisätä yhteisön kiinnostusta yksityisyyttä kohtaan, mikä, kun otetaan huomioon viimeisimmät tapahtumat tulee tärkeämmäksi kuin koskaan ennen.
Esityslistalla:
Энтузиасты сообщества децентрализованного интернет-провайдера «Medium» создают собственный поисковой движок
«Medium» учредил новый удостоверяющий центр «Medium Global Root CA». Кого затронут изменения?
Сертификаты безопасности в каждый дом — как создать свой сервис в сети Yggdrasil и выпустить для него валидный SSL-сертификат
Muistuta minua - mikä on "Keskitaso"?
Keskikokoinen (Englanti Keskikokoinen - "välittäjä", alkuperäinen iskulause - Älä pyydä yksityisyyttäsi. Ota se takaisin; myös englanniksi sana keskikokoinen tarkoittaa "välitasoa" - venäläinen hajautettu Internet-palveluntarjoaja, joka tarjoaa verkkoonpääsypalveluita Yggdrasil ilmainen.
Perustettiin huhtikuussa 2019 osana itsenäisen tietoliikenneympäristön luomista tarjoamalla loppukäyttäjille pääsyn Yggdrasil-verkkoresursseihin langattoman Wi-Fi-tiedonsiirtotekniikan avulla.
Энтузиасты сообщества децентрализованного интернет-провайдера «Medium» создают собственный поисковой движок
Изначально в сети Yggdrasil, которую децентрализованный интернет-провайдер «Medium» использует в качестве транспорта, не было ни своего DNS-сервера, ни инфраструктуры открытых ключей — однако потребность в выпуске сертификатов безопасности для сервисов сети «Medium» решила эти две проблемы.
Зачем нужен PKI, если Yggdrasil «из коробки» предоставляет возможность шифрования трафика между пирами?Yggdrasil-verkon verkkopalveluihin ei tarvitse muodostaa yhteyttä HTTPS:n avulla, jos muodostat yhteyden niihin paikallisesti toimivan Yggdrasil-verkkoreitittimen kautta.
Todellakin: Yggdrasilin kuljetus on tasaista protokollaa antaa sinun käyttää turvallisesti Yggdrasil-verkoston resursseja - kykyä suorittaa MITM-hyökkäykset kokonaan poissuljettu.
Tilanne muuttuu radikaalisti, jos käytät Yggdarsilin intranet-resursseja ei suoraan, vaan välisolmun kautta - Medium-verkon tukiaseman kautta, jota sen operaattori hallinnoi.
Kuka voi tässä tapauksessa vaarantaa lähettämäsi tiedot:
Tukiaseman operaattori. On selvää, että Medium-verkon tukiaseman nykyinen operaattori voi salakuunnella laitteidensa läpi kulkevaa salaamatonta liikennettä.
tunkeilija (Mies keskellä). Mediumilla on samanlainen ongelma kuin Tor-verkkoongelma, vain suhteessa tulo- ja välisolmuihin.
Tältä se näyttää
päätös: päästäksesi verkkopalveluihin Yggdrasil-verkossa, käytä HTTPS-protokollaa (taso 7 OSI mallit). Ongelmana on se, että Yggdrasilin verkkopalveluille ei ole mahdollista myöntää aitoa suojaussertifikaattia normaalein keinoin, kuten esim. Let's Encrypt.
Siksi olemme perustaneet oman sertifiointikeskuksemme - «Medium Global Root CA». Подавляющее большинство сервисов сети «Medium» подписаны корневым сертификатом безопасности промежуточного центра сертификации «Medium Domain Validation Secure Server CA».
Mahdollisuus vaarantaa varmenneviranomaisen juurivarmenne otettiin tietysti huomioon - mutta tässä varmenne on tarpeellisempi tiedonsiirtojen eheyden vahvistamiseksi ja MITM-hyökkäysten mahdollisuuden eliminoimiseksi.
Eri operaattoreiden keskiverkon palveluilla on erilaiset turvasertifikaatit, tavalla tai toisella juurivarmentajan allekirjoittamana. Päävarmentajan operaattorit eivät kuitenkaan pysty salakuuntelemaan salattua liikennettä palveluista, joille he ovat allekirjoittaneet suojausvarmenteet (katso "Mikä on CSR?").
Turvallisuudestaan erityisen huolissaan olevat voivat käyttää lisäsuojaa, kuten esim PGP и samankaltainen.
Tällä hetkellä Medium-verkon julkisen avaimen infrastruktuurilla on mahdollisuus tarkistaa varmenteen tila protokollan avulla OCSP tai käytön kautta CRL.
Lähempänä asiaa
Käyttäjä @NXShock начал разработку поискового движка для веб-сервисов, расположенных в сети Yggdrasil. Важным аспектом является тот факт, что определение IPv6-адресов сервисов при произведении поиска осуществляется путём направления запроса на DNS-сервер, расположенный внутри сети «Medium».
Основным TLD является .ygg. Большинство доменных имён обладают этим TLD, за исключением двух: .isp и .gg.
Поисковой движок находится в стадии разработки, но его использование уже возможно сегодня — достаточно посетить веб-сайт search.medium.isp.
«Medium» учредил новый удостоверяющий центр «Medium Global Root CA». Кого затронут изменения?
Вчера завершилось публичное тестирование функционала удостоверяющего центра «Medium Root CA». По окончании тестирования были исправлены ошибки в работе сервисов инфраструктуры открытых ключей и было произведено создание нового корневого сертификата удостоверяющего центра «Medium Global Root CA».
Были учтены все нюансы и особенности PKI — теперь новый сертификат УЦ «Medium Global Root CA» будет выпущен только спустя десять лет (по истечении его срока действия). Теперь сертификаты безопасности выдаются только промежуточными сертификационными центрами — например, «Medium Domain Validation Secure Server CA».
Как теперь выглядит цепочка доверия сертификатов?
Что необходимо сделать, чтобы всё заработало, если вы — пользователь:
Так как некоторые сервисы используют HSTS, перед началом использования ресурсов сети «Medium» необходимо удалить данные внутрисетевых ресурсов «Medium». Сделать это можно на вкладке «История» вашего браузера.
Что необходимо сделать, чтобы всё заработало, если вы — системный оператор:
Вам необходимо перевыпустить сертификат для вашего сервиса на странице pki.medium.isp (сервис доступен только в сети «Medium»).
Сертификаты безопасности в каждый дом — как создать свой сервис в сети Yggdrasil и выпустить для него валидный SSL-сертификат
В связи с ростом количества внутрисетевых сервисов сети «Medium» возросла потребность в выпуске новых сертификатов безопасности и настройка своих сервисов таким образом, чтобы они поддерживали SSL.
Так как Хабр является техническим ресурсом, в каждом новом дайджесте один из пунктов повестки будет раскрывать технические особенности инфраструктуры сети «Medium». Например, ниже представлена исчерпывающая инструкция по выпуску SSL-сертификата для своего сервиса.
В примерах будет указываться доменное имя domain.ygg, которое необходимо заменить на доменное имя вашего сервиса.
Vaihe 1. Сгенерируйте приватный ключ и параметры Диффи-Хеллмана
[ req ]
default_bits = 2048
distinguished_name = req_distinguished_name
x509_extensions = v3_req
[ req_distinguished_name ]
countryName = Country Name (2 letter code)
countryName_default = RU
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = Moscow Oblast
localityName = Locality Name (eg, city)
localityName_default = Kolomna
organizationName = Organization Name (eg, company)
organizationName_default = ACME, Inc.
commonName = Common Name (eg, YOUR name)
commonName_max = 64
commonName_default = *.domain.ygg
[ v3_req ]
subjectKeyIdentifier = hash
keyUsage = critical, digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
basicConstraints = CA:FALSE
nsCertType = server
authorityKeyIdentifier = keyid,issuer:always
crlDistributionPoints = URI:http://crl.medium.isp/Medium_Global_Root_CA.crl
authorityInfoAccess = OCSP;URI:http://ocsp.medium.isp
Vaihe 3. Отправьте запрос на получение сертификата
Для этого скопируйте содержимое файла domain.ygg.csr и вставьте его в текстовое поле на сайте pki.medium.isp.
Следуйте инструкциям, указанным на сайте, затем нажмите «Отправить». На указанный вами адрес электронной почты в случае успеха придёт сообщение, содержащее в себе вложение в виде подписанного промежуточным удостоверяющим центром сертификата.
Vaihe 4. Настройте ваш веб-сервер
Если вы используете nginx в качестве веб-сервера, используйте следующую конфигурацию:
Сертификат, полученный вами по электронной почте, необходимо скопировать по адресу /etc/ssl/certs/domain.ygg.crt. Приватный ключ (domain.ygg.key) поместите в директорию /etc/ssl/private/.
Vaihe 5. Перезапустите ваш веб-сервер
sudo service nginx restart
Ilmainen Internet Venäjällä alkaa sinusta
Voit tarjota kaiken mahdollisen avun ilmaisen Internetin luomiseksi Venäjälle tänään. Olemme koonneet kattavan luettelon siitä, kuinka voit auttaa verkostoa:
Kerro ystävillesi ja kollegoillesi Medium-verkostosta. Jaa linkki tähän artikkeliin sosiaalisessa mediassa tai henkilökohtaisessa blogissa
Osallistu keskusteluun teknisistä asioista Medium-verkossa GitHubissa
Luo verkkopalvelusi Yggdrasil-verkkoon ja lisää se Keskiverkon DNS