En début d'année, dans un rapport sur les problèmes et l'accessibilité d'Internet pour 2018-2019 que la propagation de TLS 1.3 est inévitable. Il y a quelque temps, nous avons nous-mêmes déployé la version 1.3 du protocole Transport Layer Security et, après avoir collecté et analysé les données, nous sommes enfin prêts à parler des caractéristiques de cette transition.
Présidents des groupes de travail TLS de l’IETF :
"En bref, TLS 1.3 devrait constituer la base d'un Internet plus sécurisé et plus efficace pour les 20 prochaines années."
Développement cela a pris 10 longues années. Chez Qrator Labs, ainsi que le reste de l'industrie, nous avons suivi de près le processus de création du protocole depuis la version initiale. Pendant ce temps, il a fallu rédiger 28 versions consécutives du projet pour finalement voir naître en 2019 un protocole équilibré et facile à déployer. Le soutien actif du marché pour TLS 1.3 est déjà évident : la mise en œuvre d'un protocole de sécurité éprouvé et fiable répond aux besoins de l'époque.
Selon Eric Rescorla (CTO de Firefox et seul auteur de TLS 1.3) :
"Il s'agit d'un remplacement complet de TLS 1.2, utilisant les mêmes clés et certificats, de sorte que le client et le serveur peuvent communiquer automatiquement via TLS 1.3 s'ils le prennent tous les deux en charge", a-t-il déclaré. "Il existe déjà un bon support au niveau de la bibliothèque, et Chrome et Firefox activent TLS 1.3 par défaut."
En parallèle, TLS se termine au sein du groupe de travail de l'IETF , déclarant les anciennes versions de TLS (à l'exclusion uniquement de TLS 1.2) obsolètes et inutilisables. Très probablement, la RFC finale sera publiée avant la fin de l'été. C'est un autre signal adressé au secteur informatique : la mise à jour des protocoles de chiffrement ne doit pas être retardée.
Une liste des implémentations actuelles de TLS 1.3 est disponible sur Github pour tous ceux qui recherchent la bibliothèque la plus adaptée : . Il est clair que l’adoption et le soutien du protocole mis à jour progresseront – et progressent déjà – rapidement. La compréhension de l’importance fondamentale du chiffrement dans le monde moderne s’est largement répandue.
Qu'est-ce qui a changé depuis TLS 1.2 ?
De :
« Comment TLS 1.3 rend-il le monde meilleur ?
TLS 1.3 inclut certains avantages techniques, tels qu'un processus d'établissement de liaison simplifié pour établir une connexion sécurisée, et permet également aux clients de reprendre plus rapidement les sessions avec les serveurs. Ces mesures visent à réduire la latence d'établissement de la connexion et les échecs de connexion sur les liens faibles, qui sont souvent utilisés pour justifier la fourniture uniquement de connexions HTTP non cryptées.
Tout aussi important, il supprime la prise en charge de plusieurs algorithmes de chiffrement et de hachage anciens et non sécurisés qui sont toujours autorisés (bien que non recommandés) pour une utilisation avec les versions antérieures de TLS, notamment SHA-1, MD5, DES, 3DES et AES-CBC. ajout de la prise en charge de nouvelles suites de chiffrement. D'autres améliorations incluent davantage d'éléments cryptés de la négociation (par exemple, l'échange d'informations de certificat est désormais crypté) pour réduire la quantité d'indices d'une écoute clandestine potentielle, ainsi que des améliorations pour transmettre le secret lors de l'utilisation de certains modes d'échange de clés afin que la communication à tout moment doit rester sécurisé même si les algorithmes utilisés pour le chiffrer sont compromis à l’avenir.
Développement de protocoles modernes et DDoS
Comme vous l'avez peut-être déjà lu, lors de l'élaboration du protocole , dans le groupe de travail IETF TLS . Il est désormais clair que les entreprises individuelles (y compris les institutions financières) devront modifier la façon dont elles sécurisent leur propre réseau pour s'adapter aux exigences désormais intégrées du protocole. .
Les raisons pour lesquelles cela peut être requis sont exposées dans le document, . Le document de 20 pages mentionne plusieurs exemples dans lesquels une entreprise pourrait vouloir décrypter le trafic hors bande (ce que PFS ne permet pas) à des fins de surveillance, de conformité ou de protection DDoS de la couche application (L7).
Même si nous ne sommes certainement pas prêts à spéculer sur les exigences réglementaires, notre produit exclusif d'atténuation des attaques DDoS (comprenant une solution informations sensibles et/ou confidentielles) a été créée en 2012 en tenant compte de PFS, nos clients et partenaires n'ont donc pas eu besoin d'apporter de modifications à leur infrastructure après la mise à jour de la version TLS côté serveur.
De plus, depuis la mise en œuvre, aucun problème lié au chiffrement du transport n’a été identifié. C'est officiel : TLS 1.3 est prêt pour la production.
Cependant, il existe toujours un problème lié au développement de protocoles de nouvelle génération. Le problème est que les progrès des protocoles au sein de l’IETF dépendent généralement fortement de la recherche universitaire, et l’état de la recherche universitaire dans le domaine de l’atténuation des attaques par déni de service distribué est lamentable.
Donc, un bon exemple serait Le projet de l'IETF « QUIC Manageability », qui fait partie de la prochaine suite de protocoles QUIC, indique que « les méthodes modernes de détection et d'atténuation des [attaques DDoS] impliquent généralement des mesures passives à l'aide de données de flux réseau ».
Ce dernier cas est, en fait, très rare dans les environnements d'entreprise réels (et seulement partiellement applicable aux FAI), et de toute façon il est peu probable qu'il s'agisse d'un "cas général" dans le monde réel - mais apparaît constamment dans les publications scientifiques, généralement non étayées. en testant l'ensemble du spectre des attaques DDoS potentielles, y compris les attaques au niveau des applications. Ces derniers, du fait au moins du déploiement mondial de TLS, ne peuvent évidemment pas être détectés par la mesure passive des paquets et des flux réseau.
De même, nous ne savons pas encore comment les fournisseurs de matériel d’atténuation DDoS s’adapteront aux réalités de TLS 1.3. En raison de la complexité technique liée à la prise en charge du protocole hors bande, la mise à niveau peut prendre un certain temps.
Fixer les bons objectifs pour guider la recherche constitue un défi majeur pour les fournisseurs de services d’atténuation des attaques DDoS. Un domaine dans lequel le développement peut commencer est à l'IRTF, où les chercheurs peuvent collaborer avec l'industrie pour affiner leurs propres connaissances d'une industrie difficile et explorer de nouvelles voies de recherche. Nous souhaitons également la bienvenue à tous les chercheurs, s'il y en a. Nous pouvons être contactés pour toute question ou suggestion relative à la recherche DDoS ou au groupe de recherche SMART à l'adresse suivante :
Source: habr.com