अतीत में, प्रमाणपत्र अक्सर समाप्त हो जाते थे क्योंकि उन्हें मैन्युअल रूप से नवीनीकृत करना पड़ता था। लोग इसे करना ही भूल गये। लेट्स एनक्रिप्ट के आगमन और स्वचालित अपडेट प्रक्रिया के साथ, ऐसा लगता है कि समस्या हल हो जानी चाहिए। लेकिन हाल ही में फ़ायरफ़ॉक्स कहानी दर्शाता है कि यह वास्तव में अभी भी प्रासंगिक है। दुर्भाग्य से, प्रमाणपत्र समाप्त होते जा रहे हैं।

यदि आप कहानी से चूक गए हैं, तो 4 मई, 2019 की आधी रात को लगभग सभी फ़ायरफ़ॉक्स एक्सटेंशन ने अचानक काम करना बंद कर दिया।

जैसा कि बाद में पता चला, भारी विफलता इस तथ्य के कारण हुई कि मोज़िला प्रमाणपत्र समाप्त हो गया है, जिसका उपयोग एक्सटेंशन पर हस्ताक्षर करने के लिए किया जाता था। इसलिए, उन्हें "अमान्य" के रूप में चिह्नित किया गया था और सत्यापित नहीं किया गया था (टेक्निकल डिटेल). मंचों पर, समाधान के रूप में, एक्सटेंशन हस्ताक्षर सत्यापन को अक्षम करने की अनुशंसा की गई थी के बारे में: विन्यास या सिस्टम क्लॉक बदल रहा हूँ।

मोज़िला ने तुरंत फ़ायरफ़ॉक्स 66.0.4 पैच जारी किया, जो अमान्य प्रमाणपत्र के साथ समस्या का समाधान करता है, और सभी एक्सटेंशन सामान्य हो जाते हैं। डेवलपर्स इसे इंस्टॉल करने की सलाह देते हैं और उपयोग नहीं करो हस्ताक्षर सत्यापन को बायपास करने के लिए कोई समाधान नहीं है क्योंकि वे पैच के साथ विरोध कर सकते हैं।

हालाँकि, यह कहानी एक बार फिर दिखाती है कि प्रमाणपत्र की समाप्ति आज भी एक गंभीर मुद्दा बनी हुई है।

इस संबंध में, यह देखना दिलचस्प है कि प्रोटोकॉल डेवलपर्स ने इस कार्य को कैसे निपटाया DNSCrypt. इनके समाधान को दो भागों में बाँटा जा सकता है। सबसे पहले, ये अल्पकालिक प्रमाणपत्र हैं। दूसरे, उपयोगकर्ताओं को दीर्घकालिक की समाप्ति के बारे में चेतावनी देना।

DNSCrypt

DNSCrypt एक DNS ट्रैफ़िक एन्क्रिप्शन प्रोटोकॉल है। यह DNS संचार को अवरोधों और MiTM से बचाता है, और आपको DNS क्वेरी स्तर पर अवरोधन को बायपास करने की भी अनुमति देता है।

प्रोटोकॉल क्लाइंट और सर्वर के बीच DNS ट्रैफ़िक को क्रिप्टोग्राफ़िक निर्माण में लपेटता है, जो यूडीपी और टीसीपी ट्रांसपोर्ट प्रोटोकॉल पर काम करता है। इसका उपयोग करने के लिए, क्लाइंट और DNS रिज़ॉल्वर दोनों को DNSCrypt का समर्थन करना होगा। उदाहरण के लिए, मार्च 2016 से, इसे इसके DNS सर्वर और Yandex ब्राउज़र में सक्षम किया गया है। Google और Cloudflare सहित कई अन्य प्रदाताओं ने भी समर्थन की घोषणा की है। दुर्भाग्य से, उनमें से बहुत सारे नहीं हैं (152 सार्वजनिक DNS सर्वर आधिकारिक वेबसाइट पर सूचीबद्ध हैं)। लेकिन कार्यक्रम dnscrypt-प्रॉक्सी Linux, Windows और MacOS क्लाइंट पर मैन्युअल रूप से इंस्टॉल किया जा सकता है। वे भी हैं सर्वर कार्यान्वयन.

DNSCrypt कैसे काम करता है? संक्षेप में, ग्राहक चयनित प्रदाता की सार्वजनिक कुंजी लेता है और अपने प्रमाणपत्रों को सत्यापित करने के लिए इसका उपयोग करता है। सत्र के लिए अल्पकालिक सार्वजनिक कुंजियाँ और सिफर सुइट पहचानकर्ता पहले से ही मौजूद हैं। ग्राहकों को प्रत्येक अनुरोध के लिए एक नई कुंजी उत्पन्न करने के लिए प्रोत्साहित किया जाता है, और सर्वर को कुंजी बदलने के लिए प्रोत्साहित किया जाता है हर 24 घंटे में. कुंजियों का आदान-प्रदान करते समय, X25519 एल्गोरिदम का उपयोग किया जाता है, हस्ताक्षर करने के लिए - EdDSA, ब्लॉक एन्क्रिप्शन के लिए - XSalsa20-Poly1305 या XChaCha20-Poly1305।

प्रोटोकॉल डेवलपर्स में से एक फ्रैंक डेनिस Ð ¿Ð ¸ ÑÐμÑ,हर 24 घंटे में स्वचालित प्रतिस्थापन से समाप्त प्रमाणपत्रों की समस्या हल हो गई। सिद्धांत रूप में, डीएनएसक्रिप्ट-प्रॉक्सी संदर्भ क्लाइंट किसी भी वैधता अवधि के साथ प्रमाणपत्र स्वीकार करता है, लेकिन 24 घंटे से अधिक के लिए वैध होने पर "इस सर्वर के लिए डीएनएसक्रिप्ट-प्रॉक्सी कुंजी अवधि बहुत लंबी है" चेतावनी जारी करता है। उसी समय, एक डॉकर छवि जारी की गई, जिसमें कुंजियों (और प्रमाणपत्रों) का त्वरित परिवर्तन लागू किया गया था।

सबसे पहले, यह सुरक्षा के लिए बेहद उपयोगी है: यदि सर्वर से छेड़छाड़ की गई है या कुंजी लीक हो गई है, तो कल के ट्रैफ़िक को डिक्रिप्ट नहीं किया जा सकता है। कुंजी पहले ही बदल चुकी है. यह संभवतः यारोवाया कानून के कार्यान्वयन के लिए एक समस्या पैदा करेगा, जो प्रदाताओं को एन्क्रिप्टेड ट्रैफ़िक सहित सभी ट्रैफ़िक को संग्रहीत करने के लिए मजबूर करता है। निहितार्थ यह है कि यदि आवश्यक हो तो साइट से कुंजी का अनुरोध करके इसे बाद में डिक्रिप्ट किया जा सकता है। लेकिन इस मामले में, साइट इसे प्रदान नहीं कर सकती, क्योंकि यह पुरानी कुंजियों को हटाकर अल्पकालिक कुंजियों का उपयोग करती है।

लेकिन सबसे महत्वपूर्ण बात, डेनिस लिखते हैं, अल्पकालिक कुंजी सर्वर को पहले दिन से स्वचालन स्थापित करने के लिए मजबूर करती है। यदि सर्वर नेटवर्क से कनेक्ट होता है और कुंजी परिवर्तन स्क्रिप्ट कॉन्फ़िगर नहीं हैं या काम नहीं कर रही हैं, तो इसका तुरंत पता लगाया जाएगा।

जब स्वचालन हर कुछ वर्षों में कुंजियाँ बदलता है, तो उस पर भरोसा नहीं किया जा सकता है, और लोग प्रमाणपत्र की समाप्ति के बारे में भूल सकते हैं। अगर आप रोजाना चाबियां बदलते हैं तो इसका तुरंत पता चल जाएगा।

उसी समय, यदि स्वचालन सामान्य रूप से कॉन्फ़िगर किया गया है, तो इससे कोई फर्क नहीं पड़ता कि चाबियाँ कितनी बार बदली जाती हैं: हर साल, हर तिमाही या दिन में तीन बार। फ्रैंक डेनिस लिखते हैं, अगर हर चीज़ 24 घंटे से अधिक समय तक काम करती है, तो यह हमेशा के लिए काम करेगी। उनके अनुसार, प्रोटोकॉल के दूसरे संस्करण में दैनिक कुंजी रोटेशन की सिफारिश, इसे लागू करने वाली तैयार डॉकर छवि के साथ, सुरक्षा में सुधार करते हुए, समाप्त प्रमाणपत्र वाले सर्वरों की संख्या को प्रभावी ढंग से कम कर देती है।

हालाँकि, कुछ प्रदाताओं ने फिर भी, कुछ तकनीकी कारणों से, प्रमाणपत्र वैधता अवधि को 24 घंटे से अधिक निर्धारित करने का निर्णय लिया। इस समस्या को काफी हद तक डीएनएसक्रिप्ट-प्रॉक्सी में कोड की कुछ पंक्तियों के साथ हल किया गया था: प्रमाणपत्र समाप्त होने से 30 दिन पहले उपयोगकर्ताओं को एक सूचनात्मक चेतावनी मिलती है, समाप्ति से 7 दिन पहले उच्च गंभीरता स्तर वाला एक और संदेश मिलता है, और यदि प्रमाणपत्र में कुछ भी शेष है तो एक महत्वपूर्ण संदेश मिलता है वैधता. 24 घंटे से कम. यह केवल उन प्रमाणपत्रों पर लागू होता है जिनकी प्रारंभ में लंबी वैधता अवधि होती है।

ये संदेश उपयोगकर्ताओं को बहुत देर होने से पहले आसन्न प्रमाणपत्र समाप्ति के बारे में DNS ऑपरेटरों को सूचित करने का अवसर देते हैं।

शायद यदि सभी फ़ायरफ़ॉक्स उपयोगकर्ताओं को ऐसा संदेश प्राप्त होता, तो शायद कोई डेवलपर्स को सूचित करता और वे प्रमाणपत्र को समाप्त नहीं होने देते। फ्रैंक डेनिस लिखते हैं, "मुझे सार्वजनिक DNS सर्वरों की सूची में एक भी DNSCrypt सर्वर याद नहीं है जिसका प्रमाणपत्र पिछले दो या तीन वर्षों में समाप्त हो गया हो।" किसी भी स्थिति में, बिना चेतावनी के एक्सटेंशन अक्षम करने के बजाय पहले उपयोगकर्ताओं को चेतावनी देना बेहतर होगा।

स्रोत: www.habr.com