हमने टीएलएस 1.3 सक्षम कर दिया है। आपको भी ऐसा ही क्यों करना चाहिए

वर्ष की शुरुआत में, 2018-2019 के लिए इंटरनेट समस्याओं और पहुंच पर एक रिपोर्ट में हम पहले ही लिख चुके हैंटीएलएस 1.3 का प्रसार अपरिहार्य है। कुछ समय पहले, हमने स्वयं ट्रांसपोर्ट लेयर सिक्योरिटी प्रोटोकॉल का संस्करण 1.3 तैनात किया था और डेटा एकत्र करने और उसका विश्लेषण करने के बाद, हम अंततः इस संक्रमण की विशेषताओं के बारे में बात करने के लिए तैयार हैं।

आईईटीएफ टीएलएस वर्किंग ग्रुप के अध्यक्ष लिखना:
"संक्षेप में, टीएलएस 1.3 को अगले 20 वर्षों के लिए अधिक सुरक्षित और कुशल इंटरनेट की नींव प्रदान करनी चाहिए।"

डिज़ाइन टीएलएस 1.3 10 साल का लम्बा समय लगा। क्यूरेटर लैब्स में हमने, बाकी उद्योग के साथ, प्रारंभिक मसौदे से प्रोटोकॉल निर्माण प्रक्रिया का बारीकी से पालन किया है। इस समय के दौरान, अंततः 28 में एक संतुलित और आसानी से तैनात प्रोटोकॉल की रोशनी देखने के लिए मसौदे के लगातार 2019 संस्करण लिखना आवश्यक था। टीएलएस 1.3 के लिए सक्रिय बाजार समर्थन पहले से ही स्पष्ट है: एक सिद्ध और विश्वसनीय सुरक्षा प्रोटोकॉल का कार्यान्वयन समय की जरूरतों को पूरा करता है।

एरिक रेस्कोर्ला (फ़ायरफ़ॉक्स सीटीओ और टीएलएस 1.3 के एकमात्र लेखक) के अनुसार द रजिस्टर के साथ एक साक्षात्कार में:

उन्होंने कहा, "यह समान कुंजियों और प्रमाणपत्रों का उपयोग करके टीएलएस 1.2 का पूर्ण प्रतिस्थापन है, इसलिए क्लाइंट और सर्वर स्वचालित रूप से टीएलएस 1.3 पर संचार कर सकते हैं यदि वे दोनों इसका समर्थन करते हैं।" "लाइब्रेरी स्तर पर पहले से ही अच्छा समर्थन है, और क्रोम और फ़ायरफ़ॉक्स डिफ़ॉल्ट रूप से टीएलएस 1.3 को सक्षम करते हैं।"

समानांतर में, टीएलएस IETF कार्य समूह में समाप्त हो रहा है आरएफसी तैयारी, टीएलएस के पुराने संस्करणों (केवल टीएलएस 1.2 को छोड़कर) को अप्रचलित और अनुपयोगी घोषित करना। सबसे अधिक संभावना है, अंतिम आरएफसी गर्मियों के अंत से पहले जारी किया जाएगा। यह आईटी उद्योग के लिए एक और संकेत है: एन्क्रिप्शन प्रोटोकॉल को अपडेट करने में देरी नहीं की जानी चाहिए।

सबसे उपयुक्त लाइब्रेरी की तलाश करने वाले किसी भी व्यक्ति के लिए वर्तमान टीएलएस 1.3 कार्यान्वयन की एक सूची जीथब पर उपलब्ध है: https://github.com/tlswg/tls13-spec/wiki/Implementations. यह स्पष्ट है कि अद्यतन प्रोटोकॉल को अपनाना और समर्थन करना तेजी से आगे बढ़ रहा है और पहले से ही चल रहा है। आधुनिक दुनिया में एन्क्रिप्शन कितना मौलिक हो गया है, इसकी समझ काफी व्यापक रूप से फैल गई है।

टीएलएस 1.2 के बाद से क्या बदल गया है?

की इंटरनेट सोसाइटी नोट्स:
“टीएलएस 1.3 दुनिया को एक बेहतर जगह कैसे बनाता है?

टीएलएस 1.3 में कुछ तकनीकी फायदे शामिल हैं - जैसे सुरक्षित कनेक्शन स्थापित करने के लिए सरलीकृत हैंडशेक प्रक्रिया - और ग्राहकों को सर्वर के साथ सत्र को अधिक तेज़ी से फिर से शुरू करने की अनुमति भी देता है। इन उपायों का उद्देश्य कमजोर लिंक पर कनेक्शन सेटअप विलंबता और कनेक्शन विफलताओं को कम करना है, जिन्हें अक्सर केवल अनएन्क्रिप्टेड HTTP कनेक्शन प्रदान करने के औचित्य के रूप में उपयोग किया जाता है।

उतनी ही महत्वपूर्ण बात यह है कि यह कई विरासत और असुरक्षित एन्क्रिप्शन और हैशिंग एल्गोरिदम के लिए समर्थन को हटा देता है जिन्हें SHA-1, MD5, DES, 3DES और AES-CBC सहित TLS के पुराने संस्करणों के साथ उपयोग के लिए अभी भी अनुमति है (हालांकि अनुशंसित नहीं है)। नए सिफर सुइट्स के लिए समर्थन जोड़ना। अन्य सुधारों में हैंडशेक के अधिक एन्क्रिप्टेड तत्व शामिल हैं (उदाहरण के लिए, प्रमाणपत्र जानकारी का आदान-प्रदान अब एन्क्रिप्टेड है) संभावित ट्रैफ़िक छिपकर बात करने वालों के लिए सुराग की मात्रा को कम करने के लिए, साथ ही कुछ प्रमुख एक्सचेंज मोड का उपयोग करते समय गोपनीयता को आगे बढ़ाने में सुधार ताकि संचार हो सके हर समय सुरक्षित रहना चाहिए, भले ही इसे एन्क्रिप्ट करने के लिए उपयोग किए जाने वाले एल्गोरिदम से भविष्य में समझौता किया जाए।''

आधुनिक प्रोटोकॉल और DDoS का विकास

जैसा कि आप पहले ही पढ़ चुके होंगे, प्रोटोकॉल के विकास के दौरान और उसके बाद भी, IETF TLS कार्य समूह में गंभीर विरोधाभास उत्पन्न हो गए. अब यह स्पष्ट है कि व्यक्तिगत व्यवसायों (वित्तीय संस्थानों सहित) को अब अंतर्निहित प्रोटोकॉल को समायोजित करने के लिए अपने नेटवर्क को सुरक्षित करने के तरीके को बदलना होगा सही आगे गोपनीयता.

इसकी आवश्यकता क्यों हो सकती है इसके कारण दस्तावेज़ में बताए गए हैं, स्टीव फेंटर द्वारा लिखित. 20 पेज के पेपर में कई उदाहरणों का उल्लेख किया गया है जहां एक उद्यम निगरानी, ​​​​अनुपालन या एप्लिकेशन लेयर (L7) DDoS सुरक्षा उद्देश्यों के लिए आउट-ऑफ-बैंड ट्रैफ़िक (जिसे PFS अनुमति नहीं देता है) को डिक्रिप्ट करना चाह सकता है।

हालाँकि हम निश्चित रूप से विनियामक आवश्यकताओं पर अटकलें लगाने के लिए तैयार नहीं हैं, हमारे मालिकाना एप्लिकेशन DDoS शमन उत्पाद (एक समाधान सहित) प्रकटीकरण की आवश्यकता नहीं संवेदनशील और/या गोपनीय जानकारी) 2012 में पीएफएस को ध्यान में रखते हुए बनाई गई थी, इसलिए हमारे ग्राहकों और भागीदारों को सर्वर साइड पर टीएलएस संस्करण को अपडेट करने के बाद अपने बुनियादी ढांचे में कोई बदलाव करने की आवश्यकता नहीं थी।

इसके अलावा, कार्यान्वयन के बाद से, परिवहन एन्क्रिप्शन से संबंधित किसी भी समस्या की पहचान नहीं की गई है। यह आधिकारिक है: टीएलएस 1.3 उत्पादन के लिए तैयार है।

हालाँकि, अगली पीढ़ी के प्रोटोकॉल के विकास से जुड़ी एक समस्या अभी भी है। समस्या यह है कि IETF में प्रोटोकॉल की प्रगति आमतौर पर अकादमिक अनुसंधान पर बहुत अधिक निर्भर है, और वितरित इनकार-सेवा हमलों को कम करने के क्षेत्र में अकादमिक अनुसंधान की स्थिति निराशाजनक है।

तो, एक अच्छा उदाहरण होगा धारा 4.4 IETF ड्राफ्ट "क्विक प्रबंधनीयता", आगामी QUIC प्रोटोकॉल सूट का हिस्सा है, जिसमें कहा गया है कि "[DDoS हमलों] का पता लगाने और कम करने के आधुनिक तरीकों में आमतौर पर नेटवर्क प्रवाह डेटा का उपयोग करके निष्क्रिय माप शामिल होता है।"

उत्तरार्द्ध, वास्तव में, वास्तविक उद्यम वातावरण में बहुत दुर्लभ है (और केवल आंशिक रूप से आईएसपी पर लागू होता है), और किसी भी मामले में वास्तविक दुनिया में "सामान्य मामला" होने की संभावना नहीं है - लेकिन वैज्ञानिक प्रकाशनों में लगातार दिखाई देता है, आमतौर पर समर्थित नहीं होता है एप्लिकेशन स्तर के हमलों सहित संभावित DDoS हमलों के पूरे स्पेक्ट्रम का परीक्षण करके। उत्तरार्द्ध, कम से कम टीएलएस की विश्वव्यापी तैनाती के कारण, स्पष्ट रूप से नेटवर्क पैकेट और प्रवाह के निष्क्रिय माप द्वारा पता नहीं लगाया जा सकता है।

इसी तरह, हम अभी तक नहीं जानते कि DDoS शमन हार्डवेयर विक्रेता TLS 1.3 की वास्तविकताओं के अनुकूल कैसे होंगे। आउट-ऑफ़-बैंड प्रोटोकॉल का समर्थन करने की तकनीकी जटिलता के कारण, अपग्रेड में कुछ समय लग सकता है।

अनुसंधान को निर्देशित करने के लिए सही लक्ष्य निर्धारित करना DDoS शमन सेवा प्रदाताओं के लिए एक बड़ी चुनौती है। एक क्षेत्र जहां विकास शुरू हो सकता है स्मार्ट अनुसंधान समूह आईआरटीएफ में, जहां शोधकर्ता एक चुनौतीपूर्ण उद्योग के बारे में अपने स्वयं के ज्ञान को परिष्कृत करने और अनुसंधान के नए रास्ते तलाशने के लिए उद्योग के साथ सहयोग कर सकते हैं। हम सभी शोधकर्ताओं का भी हार्दिक स्वागत करते हैं, यदि कोई हो तो - DDoS अनुसंधान या स्मार्ट अनुसंधान समूह से संबंधित प्रश्नों या सुझावों के लिए हमसे संपर्क किया जा सकता है। [ईमेल संरक्षित]

स्रोत: www.habr.com