मीडियम वीकली डाइजेस्ट #5 (9 - 16 अगस्त 2019)

हम हर समय "राष्ट्रीय सुरक्षा" वाक्यांश सुनते हैं, लेकिन जब सरकार हमारे संचार की निगरानी करना शुरू कर देती है, उन्हें बिना किसी विश्वसनीय संदेह, कानूनी आधार और बिना किसी स्पष्ट उद्देश्य के रिकॉर्ड करना शुरू कर देती है, तो हमें खुद से सवाल पूछना चाहिए: क्या वे वास्तव में राष्ट्रीय सुरक्षा की रक्षा कर रहे हैं या क्या वे अपनी रक्षा स्वयं कर रहे हैं?

- एडवर्ड स्नोडेन

इस डाइजेस्ट का उद्देश्य गोपनीयता के मुद्दे में समुदाय की रुचि को बढ़ाना है, जिसके आलोक में नवीनतम घटनाओं पहले से कहीं अधिक प्रासंगिक हो गया है।

मुद्दे पर:

       विकेन्द्रीकृत इंटरनेट प्रदाता "मीडियम" समुदाय के उत्साही लोग अपना स्वयं का खोज इंजन बना रहे हैं
       मीडियम ने एक नया प्रमाणन प्राधिकरण, मीडियम ग्लोबल रूट सीए स्थापित किया है। परिवर्तनों से कौन प्रभावित होगा?
       प्रत्येक घर के लिए सुरक्षा प्रमाणपत्र - Yggdrasil नेटवर्क पर अपनी स्वयं की सेवा कैसे बनाएं और इसके लिए एक वैध SSL प्रमाणपत्र कैसे जारी करें

मुझे याद दिलाएं - "मध्यम" क्या है?

मध्यम (अंग्रेज़ी मध्यम - "मध्यस्थ", मूल नारा - अपनी निजता के बारे में न पूछें. इसे वापस ले लो; अंग्रेजी में भी शब्द मध्यम इसका अर्थ है "मध्यवर्ती") - एक रूसी विकेन्द्रीकृत इंटरनेट प्रदाता जो नेटवर्क एक्सेस सेवाएं प्रदान करता है Yggdrasil निःशुल्क।

पूरा नाम: मीडियम इंटरनेट सेवा प्रदाता। प्रारंभ में इस परियोजना की कल्पना इस प्रकार की गई थी गूँथा हुआ तंत्र в कोलोमना शहरी जिला.

अप्रैल 2019 में वाई-फाई वायरलेस डेटा ट्रांसमिशन तकनीक के उपयोग के माध्यम से अंतिम उपयोगकर्ताओं को Yggdrasil नेटवर्क संसाधनों तक पहुंच प्रदान करके एक स्वतंत्र दूरसंचार वातावरण के निर्माण के हिस्से के रूप में गठित किया गया।

विषय पर अधिक जानकारी: "विकेंद्रीकृत इंटरनेट प्रदाता माध्यम के बारे में वह सब कुछ जो आप जानना चाहते थे, लेकिन पूछने से डरते थे"

विकेन्द्रीकृत इंटरनेट प्रदाता "मीडियम" समुदाय के उत्साही लोग अपना स्वयं का खोज इंजन बना रहे हैं

मूलतः ऑनलाइन Yggdrasil, जिसे विकेंद्रीकृत इंटरनेट सेवा प्रदाता माध्यम परिवहन के रूप में उपयोग करता है, उसके पास अपना स्वयं का DNS सर्वर या सार्वजनिक कुंजी बुनियादी ढांचा नहीं था - हालांकि, मध्यम नेटवर्क सेवाओं के लिए सुरक्षा प्रमाणपत्र जारी करने की आवश्यकता ने इन दो समस्याओं को हल कर दिया।

यदि बॉक्स से बाहर Yggdrasil साथियों के बीच ट्रैफ़िक को एन्क्रिप्ट करने की क्षमता प्रदान करता है तो आपको PKI की आवश्यकता क्यों है?यदि आप Yggdrasil नेटवर्क पर वेब सेवाओं से स्थानीय रूप से चलने वाले Yggdrasil नेटवर्क राउटर के माध्यम से कनेक्ट होते हैं, तो उनसे कनेक्ट करने के लिए HTTPS का उपयोग करने की कोई आवश्यकता नहीं है।

वास्तव में: Yggdrasil परिवहन बराबर है मसविदा बनाना आपको Yggdrasil नेटवर्क के भीतर संसाधनों का सुरक्षित रूप से उपयोग करने की अनुमति देता है - संचालन करने की क्षमता एमआईटीएम हमले पूरी तरह से बहिष्कृत.

यदि आप Yggdarsil के इंट्रानेट संसाधनों तक सीधे नहीं, बल्कि एक मध्यवर्ती नोड - मीडियम नेटवर्क एक्सेस प्वाइंट, जो इसके ऑपरेटर द्वारा प्रशासित होता है, के माध्यम से पहुंचते हैं तो स्थिति मौलिक रूप से बदल जाती है।

इस मामले में, आपके द्वारा प्रेषित डेटा से कौन समझौता कर सकता है:

1. एक्सेस प्वाइंट ऑपरेटर. यह स्पष्ट है कि मीडियम नेटवर्क एक्सेस प्वाइंट का वर्तमान ऑपरेटर उसके उपकरण से गुजरने वाले अनएन्क्रिप्टेड ट्रैफ़िक पर नज़र रख सकता है।
2. घुसेड़नेवाला (बीच वाला व्यक्ति). मीडियम में भी ऐसी ही समस्या है टोर नेटवर्क समस्या, केवल इनपुट और मध्यवर्ती नोड्स के संबंध में।

यह है जो ऐसा लग रहा है

समाधान: Yggdrasil नेटवर्क के भीतर वेब सेवाओं तक पहुंचने के लिए, HTTPS प्रोटोकॉल (स्तर 7) का उपयोग करें ओएसआई मॉडल). समस्या यह है कि पारंपरिक तरीकों जैसे Yggdrasil नेटवर्क सेवाओं के लिए वास्तविक सुरक्षा प्रमाणपत्र जारी करना संभव नहीं है चलो एन्क्रिप्ट करें.

इसलिए, हमने अपना स्वयं का प्रमाणन केंद्र स्थापित किया - "मीडियम ग्लोबल रूट सीए". मीडियम नेटवर्क में अधिकांश सेवाएँ इंटरमीडिएट प्रमाणन प्राधिकरण मीडियम डोमेन वैलिडेशन सिक्योर सर्वर सीए के रूट सुरक्षा प्रमाणपत्र द्वारा हस्ताक्षरित हैं।

प्रमाणन प्राधिकरण के मूल प्रमाणपत्र से समझौता करने की संभावना को निश्चित रूप से ध्यान में रखा गया था - लेकिन यहां डेटा ट्रांसमिशन की अखंडता की पुष्टि करने और एमआईटीएम हमलों की संभावना को खत्म करने के लिए प्रमाणपत्र अधिक आवश्यक है।

विभिन्न ऑपरेटरों की मध्यम नेटवर्क सेवाओं के पास अलग-अलग सुरक्षा प्रमाणपत्र होते हैं, जो किसी न किसी तरह से रूट प्रमाणन प्राधिकरण द्वारा हस्ताक्षरित होते हैं। हालाँकि, रूट सीए ऑपरेटर उन सेवाओं से एन्क्रिप्टेड ट्रैफ़िक पर नज़र रखने में सक्षम नहीं हैं जिनके लिए उन्होंने सुरक्षा प्रमाणपत्र पर हस्ताक्षर किए हैं (देखें) "सीएसआर क्या है?").

जो लोग अपनी सुरक्षा के बारे में विशेष रूप से चिंतित हैं वे अतिरिक्त सुरक्षा जैसे साधनों का उपयोग कर सकते हैं पीजीपी и समान.

वर्तमान में, मीडियम नेटवर्क के सार्वजनिक कुंजी बुनियादी ढांचे में प्रोटोकॉल का उपयोग करके प्रमाणपत्र की स्थिति की जांच करने की क्षमता है ओसीएसपी या उपयोग के माध्यम से सीआरएल.

मुद्दे पे आईये

प्रयोक्ता @NXShock Yggdrasil नेटवर्क पर स्थित वेब सेवाओं के लिए एक खोज इंजन विकसित करना शुरू किया। एक महत्वपूर्ण पहलू यह तथ्य है कि खोज करते समय सेवाओं के आईपीवी6 पते का निर्धारण मीडियम नेटवर्क के अंदर स्थित डीएनएस सर्वर को अनुरोध भेजकर किया जाता है।

मुख्य TLD है .ygg. दो अपवादों को छोड़कर अधिकांश डोमेन नामों में यह TLD होता है: .isp и .gg.

खोज इंजन विकासाधीन है, लेकिन इसका उपयोग आज पहले से ही संभव है - बस वेबसाइट पर जाएँ search.medium.isp.

आप परियोजना के विकास में मदद कर सकते हैं, GitHub पर विकास से जुड़कर.

मीडियम ने एक नया प्रमाणन प्राधिकरण, मीडियम ग्लोबल रूट सीए स्थापित किया है। परिवर्तनों से कौन प्रभावित होगा?

कल, मीडियम रूट सीए प्रमाणन केंद्र की कार्यक्षमता का सार्वजनिक परीक्षण पूरा हो गया। परीक्षण के अंत में, सार्वजनिक कुंजी अवसंरचना सेवाओं के संचालन में त्रुटियों को ठीक किया गया और प्रमाणन प्राधिकरण का एक नया रूट प्रमाणपत्र "मीडियम ग्लोबल रूट सीए" बनाया गया।

पीकेआई की सभी बारीकियों और विशेषताओं को ध्यान में रखा गया - अब नया सीए प्रमाणपत्र "मीडियम ग्लोबल रूट सीए" केवल दस साल बाद (इसकी समाप्ति तिथि के बाद) जारी किया जाएगा। अब सुरक्षा प्रमाणपत्र केवल मध्यवर्ती प्रमाणन प्राधिकारियों द्वारा जारी किए जाते हैं - उदाहरण के लिए, "मध्यम डोमेन सत्यापन सुरक्षित सर्वर सीए"।

प्रमाणपत्र ट्रस्ट श्रृंखला अब कैसी दिखती है?



यदि आप एक उपयोगकर्ता हैं तो हर चीज़ को काम करने के लिए क्या करना होगा:

चूँकि कुछ सेवाएँ HSTS का उपयोग करती हैं, मध्यम नेटवर्क संसाधनों का उपयोग करने से पहले, आपको मध्यम इंट्रानेट संसाधनों से डेटा हटाना होगा। आप इसे अपने ब्राउज़र के इतिहास टैब में कर सकते हैं।

यह भी जरूरी है नया प्रमाणपत्र स्थापित करें प्रमाणन केंद्र "मीडियम ग्लोबल रूट सीए"।

यदि आप एक सिस्टम ऑपरेटर हैं तो सब कुछ काम करने के लिए क्या करने की आवश्यकता है:

आपको पृष्ठ पर अपनी सेवा के लिए प्रमाणपत्र पुनः जारी करना होगा pki.medium.isp (सेवा केवल मीडियम नेटवर्क पर उपलब्ध है)।

प्रत्येक घर के लिए सुरक्षा प्रमाणपत्र - Yggdrasil नेटवर्क पर अपनी स्वयं की सेवा कैसे बनाएं और इसके लिए एक वैध SSL प्रमाणपत्र कैसे जारी करें

मीडियम नेटवर्क पर इंट्रानेट सेवाओं की संख्या में वृद्धि के कारण, नए सुरक्षा प्रमाणपत्र जारी करने और उनकी सेवाओं को कॉन्फ़िगर करने की आवश्यकता बढ़ गई है ताकि वे एसएसएल का समर्थन करें।

चूँकि हैबर एक तकनीकी संसाधन है, प्रत्येक नए डाइजेस्ट में एजेंडा आइटम में से एक मीडियम नेटवर्क बुनियादी ढांचे की तकनीकी विशेषताओं को प्रकट करेगा। उदाहरण के लिए, आपकी सेवा के लिए एसएसएल प्रमाणपत्र जारी करने के लिए नीचे व्यापक निर्देश दिए गए हैं।

उदाहरण डोमेन नाम का संकेत देंगे डोमेन.ygg, जिसे आपकी सेवा के डोमेन नाम से बदला जाना चाहिए।

1 कदम. निजी कुंजी और डिफी-हेलमैन पैरामीटर उत्पन्न करें

openssl genrsa -out domain.ygg.key 2048

तब:

openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

2 कदम. प्रमाणपत्र पर हस्ताक्षर करने का अनुरोध बनाएं

openssl req -new -key domain.ygg.key -out domain.ygg.csr -config domain.ygg.conf

फ़ाइल सामग्री डोमेन.ygg.conf:

[ req ]
default_bits                = 2048
distinguished_name          = req_distinguished_name
x509_extensions             = v3_req

[ req_distinguished_name ]
countryName                 = Country Name (2 letter code)
countryName_default         = RU
stateOrProvinceName         = State or Province Name (full name)
stateOrProvinceName_default = Moscow Oblast
localityName                = Locality Name (eg, city)
localityName_default        = Kolomna
organizationName            = Organization Name (eg, company)
organizationName_default    = ACME, Inc.
commonName                  = Common Name (eg, YOUR name)
commonName_max              = 64
commonName_default          = *.domain.ygg

[ v3_req ]
subjectKeyIdentifier        = hash
keyUsage                    = critical, digitalSignature, keyEncipherment
extendedKeyUsage            = serverAuth
basicConstraints            = CA:FALSE
nsCertType                  = server
authorityKeyIdentifier      = keyid,issuer:always
crlDistributionPoints       = URI:http://crl.medium.isp/Medium_Global_Root_CA.crl
authorityInfoAccess         = OCSP;URI:http://ocsp.medium.isp

3 कदम. प्रमाणपत्र अनुरोध सबमिट करें

ऐसा करने के लिए, फ़ाइल की सामग्री की प्रतिलिपि बनाएँ डोमेन.ygg.csr और इसे साइट पर टेक्स्ट फ़ील्ड में पेस्ट करें pki.medium.isp.

वेबसाइट पर दिए गए निर्देशों का पालन करें, फिर "सबमिट करें" पर क्लिक करें। सफल होने पर, आपके द्वारा निर्दिष्ट ईमेल पते पर एक संदेश भेजा जाएगा जिसमें एक मध्यवर्ती प्रमाणन प्राधिकारी द्वारा हस्ताक्षरित प्रमाणपत्र के रूप में एक अनुलग्नक होगा।

4 कदम. अपना वेब सर्वर सेट करें

यदि आप अपने वेब सर्वर के रूप में nginx का उपयोग कर रहे हैं, तो निम्न कॉन्फ़िगरेशन का उपयोग करें:

फ़ाइल डोमेन.ygg.conf निर्देशिका में /etc/nginx/साइट्स-उपलब्ध/

server {
    listen [::]:80;
    listen [::]:443 ssl;

    root /var/www/domain.ygg;
    index index.php index.html index.htm index.nginx-debian.html;

    server_name domain.ygg;

    include snippets/domain.ygg.conf;
    include snippets/ssl-params.conf;

    location = /favicon.ico { log_not_found off; access_log off; }
    location = /robots.txt { log_not_found off; access_log off; allow all; }
    location ~* .(css|gif|ico|jpeg|jpg|js|png)$ {
        expires max;
        log_not_found off;
    }

    location / {
        try_files $uri $uri/ /index.php$is_args$args;
    }

    location ~ .php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php7.0-fpm.sock;
    }

    location ~ /.ht {
        deny all;
    }
}

फ़ाइल ssl-params.conf निर्देशिका में /etc/nginx/स्निपेट/

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH";
ssl_ecdh_curve secp384r1;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;

add_header Strict-Transport-Security "max-age=15552000; preload";
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;

ssl_dhparam /etc/ssl/certs/dhparam.pem;

फ़ाइल डोमेन.ygg.conf निर्देशिका में /etc/nginx/स्निपेट/

ssl_certificate /etc/ssl/certs/domain.ygg.crt;
ssl_certificate_key /etc/ssl/private/domain.ygg.key;

आपको ईमेल द्वारा प्राप्त प्रमाणपत्र को यहां कॉपी किया जाना चाहिए: /etc/ssl/certs/domain.ygg.crt. निजी चाबी (डोमेन.ygg.key) इसे एक निर्देशिका में रखें /आदि/एसएसएल/निजी/.

5 कदम. अपने वेब सर्वर को पुनरारंभ करें

sudo service nginx restart

रूस में मुफ़्त इंटरनेट की शुरुआत आपसे होती है

आप आज रूस में मुफ़्त इंटरनेट की स्थापना के लिए हर संभव सहायता प्रदान कर सकते हैं। हमने एक व्यापक सूची तैयार की है कि आप नेटवर्क की कैसे मदद कर सकते हैं:

• अपने दोस्तों और सहकर्मियों को मीडियम नेटवर्क के बारे में बताएं। शेयर करना लिंक सोशल नेटवर्क या व्यक्तिगत ब्लॉग पर इस लेख के लिए
• मीडियम नेटवर्क पर तकनीकी मुद्दों की चर्चा में भाग लें गीथहब पर
• Yggdrasil नेटवर्क पर अपनी वेब सेवा बनाएं और इसे इसमें जोड़ें मीडियम नेटवर्क का डीएनएस
• ऊपर उठाओ प्रवेश बिन्दु मीडियम नेटवर्क के लिए

पिछली रिलीज़:

   मीडियम वीकली डाइजेस्ट #1 (12 - 19 जुलाई 2019)
   मीडियम वीकली डाइजेस्ट #2 (19 - 26 जुलाई 2019)
   मीडियम वीकली डाइजेस्ट #3 (26 जुलाई - 2 अगस्त 2019)
   मीडियम वीकली डाइजेस्ट #4 (2 - 9 अगस्त 2019)

यह भी देखें:

विकेंद्रीकृत इंटरनेट प्रदाता मीडियम के बारे में वह सब कुछ जो आप जानना चाहते थे, लेकिन पूछने से डरते थे
प्रिये, हम इंटरनेट को ख़त्म कर रहे हैं
विकेंद्रीकृत इंटरनेट प्रदाता "मध्यम" - तीन महीने बाद

हम टेलीग्राम पर हैं: @मीडियम_आईएसपी

केवल पंजीकृत उपयोगकर्ता ही सर्वेक्षण में भाग ले सकते हैं। साइन इन करेंकृपया।

वैकल्पिक मतदान: हमारे लिए उन लोगों की राय जानना महत्वपूर्ण है जिनके पास हैबे पर पूरा खाता नहीं है

• ↑

• ↓

7 उपयोगकर्ताओं ने मतदान किया। 2 उपयोगकर्ता अनुपस्थित रहे।

स्रोत: www.habr.com