{"id":33503,"date":"2019-10-31T21:52:58","date_gmt":"2019-10-31T18:52:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa\/"},"modified":"2019-10-31T21:52:58","modified_gmt":"2019-10-31T18:52:58","slug":"kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","title":{"rendered":"Comment DNSCrypt a r\u00e9solu le probl\u00e8me des certificats expir\u00e9s en introduisant une dur\u00e9e de validit\u00e9 de 24 heures","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Comment
\n
\nAutrefois, les certificats expiraient souvent car ils devaient \u00eatre mis \u00e0 jour manuellement. Les gens oubliaient simplement de le faire. Avec l'apparition de Let\u2019s Encrypt et de proc\u00e9dures de mise \u00e0 jour automatiques, ce probl\u00e8me semblait r\u00e9solu. Cependant, l'histoire r\u00e9cente avec Firefox<\/a><\/noindex> montre qu'elle est en r\u00e9alit\u00e9 toujours d'actualit\u00e9. Malheureusement, les certificats continuent d'expirer.<\/p>\n

Si quelqu'un a rat\u00e9 cette histoire, \u00e0 minuit le 4 mai 2019, presque toutes les extensions Firefox ont soudainement cess\u00e9 de fonctionner.
\n<\/a><\/noindex>
\nIl s'est av\u00e9r\u00e9 qu'une panne massive \u00e9tait due au fait que Mozilla avait laiss\u00e9 expirer le certificat<\/a><\/noindex>, utilis\u00e9 pour signer les extensions. Par cons\u00e9quent, elles \u00e9taient marqu\u00e9es comme \u00ab non valides \u00bb et ne r\u00e9ussissaient pas la v\u00e9rification (d\u00e9tails techniques<\/a><\/noindex>). Sur les forums, comme solution de contournement, il a \u00e9t\u00e9 recommand\u00e9 de d\u00e9sactiver la v\u00e9rification des signatures des extensions dans about:config<\/i> ou de modifier l'heure syst\u00e8me.<\/p>\n

Mozilla a rapidement publi\u00e9 un patch pour Firefox 66.0.4, qui r\u00e9sout le probl\u00e8me avec le certificat non valide, et toutes les extensions sont revenues \u00e0 la normale. Les d\u00e9veloppeurs recommandent de l'installer et de ne pas utiliser<\/a><\/noindex> de solutions de contournement pour \u00e9viter la v\u00e9rification des signatures, car elles pourraient entrer en conflit avec le patch.<\/p>\n

N\u00e9anmoins, cette histoire montre encore une fois que l'expiration des certificats reste un probl\u00e8me d'actualit\u00e9 aujourd'hui.<\/p>\n

Dans ce contexte, il est int\u00e9ressant de regarder la mani\u00e8re assez originale dont les d\u00e9veloppeurs du protocole DNSCrypt<\/a><\/noindex>ont abord\u00e9 cette t\u00e2che. Leur solution peut \u00eatre divis\u00e9e en deux parties. Premi\u00e8rement, il s'agit de certificats \u00e0 court terme. Deuxi\u00e8mement, d'avertir les utilisateurs de l'expiration imminente des certificats \u00e0 long terme.<\/p>\n

DNSCrypt<\/h1>\n

\n\"CommentDNSCrypt est un protocole de cryptage du trafic DNS. Il prot\u00e8ge les communications DNS contre les interceptions et les attaques de type MiTM, et permet \u00e9galement de contourner les blocages au niveau des requ\u00eates DNS.<\/p>\n

Le protocole encapsule le trafic DNS entre le client et le serveur dans une structure cryptographique, op\u00e9rant sur les protocoles de transport UDP et TCP. Pour l'utiliser, le client et le r\u00e9solveur DNS doivent prendre en charge DNSCrypt. Par exemple, depuis mars 2016, Yandex a int\u00e9gr\u00e9 ce protocole \u00e0 ses serveurs DNS et \u00e0 son navigateur. Certains autres fournisseurs, y compris Google et Cloudflare, ont \u00e9galement annonc\u00e9 leur prise en charge. Malheureusement, ils ne sont pas tr\u00e8s nombreux (152 serveurs DNS publics sont list\u00e9s sur le site officiel). Mais le programme dnscrypt-proxy<\/a><\/noindex> peut \u00eatre install\u00e9 manuellement sur des clients sous Linux, Windows et MacOS. Il existe aussi des impl\u00e9mentations serveurs<\/a><\/noindex>.<\/p>\n

\"Comment
\n
\nComment fonctionne DNSCrypt ? En bref, le client prend la cl\u00e9 publique du fournisseur choisi et l'utilise pour v\u00e9rifier ses certificats. \u00c0 ce niveau, il y a des cl\u00e9s publiques \u00e0 court terme pour la session et un identifiant de suite de chiffrement. Il est recommand\u00e9 aux clients de g\u00e9n\u00e9rer une nouvelle cl\u00e9 pour chaque requ\u00eate, et aux serveurs de changer leurs cl\u00e9s toutes les 24 heures<\/b>. Lors des \u00e9changes de cl\u00e9s, l'algorithme X25519 est utilis\u00e9, pour la signature \u2014 EdDSA, pour le chiffrement par blocs \u2014 XSalsa20-Poly1305 ou XChaCha20-Poly1305.<\/p>\n

L'un des d\u00e9veloppeurs du protocole, Frank Denis \u00e9crit<\/a><\/noindex>, a indiqu\u00e9 que le changement automatique toutes les 24 heures r\u00e9solvait le probl\u00e8me des certificats expir\u00e9s. En principe, le client de r\u00e9f\u00e9rence dnscrypt-proxy accepte des certificats de n'importe quelle dur\u00e9e de validit\u00e9, mais \u00e9met un avertissement \u00ab La p\u00e9riode des cl\u00e9s dnscrypt-proxy pour ce serveur est trop longue \u00bb si elle est valide depuis plus de 24 heures. En m\u00eame temps, une image Docker a \u00e9t\u00e9 publi\u00e9e, dans laquelle un changement rapide de cl\u00e9s (et de certificats) a \u00e9t\u00e9 impl\u00e9ment\u00e9.<\/p>\n

Tout d'abord, c'est extr\u00eamement utile pour la s\u00e9curit\u00e9 : si le serveur est compromis ou si la cl\u00e9 est divulgu\u00e9e, le trafic d'hier ne peut pas \u00eatre d\u00e9chiffr\u00e9. La cl\u00e9 a d\u00e9j\u00e0 chang\u00e9. Cela posera probablement un probl\u00e8me pour l'application de la \u00ab loi Yarovaya \u00bb, qui oblige les fournisseurs \u00e0 stocker tout le trafic, y compris le trafic chiffr\u00e9. On suppose qu'il sera possible de le d\u00e9chiffrer par la suite en demandant la cl\u00e9 au site. Mais dans ce cas, le site ne pourra tout simplement pas la fournir, car il utilise des cl\u00e9s temporaires, supprimant les anciennes.<\/p>\n

Mais surtout, \u00e9crit Denis, les cl\u00e9s \u00e0 court terme obligent les serveurs \u00e0 configurer l'automatisation d\u00e8s le premier jour. Si le serveur se connecte au r\u00e9seau et que les scripts de changement de cl\u00e9s ne sont pas configur\u00e9s ou ne fonctionnent pas, cela sera imm\u00e9diatement d\u00e9tect\u00e9.<\/p>\n

Lorsque l'automatisation change les cl\u00e9s tous les quelques ann\u00e9es, on ne peut pas compter dessus, et les gens peuvent oublier l'expiration du certificat. Avec un changement quotidien des cl\u00e9s, cela sera d\u00e9tect\u00e9 instantan\u00e9ment.<\/p>\n

En revanche, si l'automatisation est bien configur\u00e9e, peu importe la fr\u00e9quence de changement des cl\u00e9s : chaque ann\u00e9e, chaque trimestre ou trois fois par jour. Si \u00e7a fonctionne plus de 24 heures, cela continuera \u00e0 fonctionner ind\u00e9finiment, \u00e9crit Frank Denis. Selon lui, la recommandation de changer les cl\u00e9s quotidiennement dans la deuxi\u00e8me version du protocole, accompagn\u00e9e d'une image Docker qui le met en \u0153uvre, a efficacement r\u00e9duit le nombre de serveurs avec des certificats expir\u00e9s tout en am\u00e9liorant la s\u00e9curit\u00e9.<\/p>\n

Toutefois, certains fournisseurs ont d\u00e9cid\u00e9 pour des raisons techniques d'\u00e9tablir une dur\u00e9e de vie du certificat sup\u00e9rieure \u00e0 24 heures. Ce probl\u00e8me a \u00e9t\u00e9 essentiellement r\u00e9solu par quelques lignes de code dans dnscrypt-proxy : les utilisateurs re\u00e7oivent un avertissement d'information 30 jours avant l'expiration du certificat, un autre message plus s\u00e9rieux 7 jours avant l'expiration et un message critique si le certificat expire dans moins de 24 heures. Cela ne concerne que les certificats ayant \u00e0 l'origine une longue dur\u00e9e de vie.<\/p>\n

De tels messages donnent aux utilisateurs l'opportunit\u00e9 d'informer les op\u00e9rateurs DNS de l'imminente expiration du certificat avant qu'il ne soit trop tard. <\/p>\n

Peut-\u00eatre que si tous les utilisateurs de Firefox avaient re\u00e7u un tel message, quelqu'un aurait probablement inform\u00e9 les d\u00e9veloppeurs et ceux-ci auraient \u00e9vit\u00e9 l'expiration du certificat. \u00ab Je ne me souviens d'aucun serveur DNSCrypt de la liste des serveurs DNS publics dont le certificat a expir\u00e9 au cours des deux ou trois derni\u00e8res ann\u00e9es \u00bb, \u00e9crit Frank Denis. Dans tous les cas, il vaut probablement mieux d'abord avertir les utilisateurs plut\u00f4t que de d\u00e9sactiver les extensions sans avertissement.<\/p>\n

\n\"Comment
\n<\/a><\/noindex>
\n
Source : habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25203,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Comment DNSCrypt a r\u00e9solu le probl\u00e8me des certificats expir\u00e9s en introduisant une dur\u00e9e de vie de 24 heures | ProHoster","description":"Autrefois.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a DNSCrypt \u0440\u0435\u0448\u0438\u043b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043f\u0440\u043e\u0441\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u0432\u0432\u0435\u0434\u044f \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f 24 \u0447\u0430\u0441\u0430 | ProHoster","og:description":"\u0420\u0430\u043d\u044c\u0448\u0435.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:52:58+00:00","article:modified_time":"2019-10-31T18:52:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33503","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:31:39","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:31:39","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/33503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=33503"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/33503\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/25203"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=33503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=33503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=33503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}