{"id":33503,"date":"2019-10-31T21:52:58","date_gmt":"2019-10-31T18:52:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa\/"},"modified":"2019-10-31T21:52:58","modified_gmt":"2019-10-31T18:52:58","slug":"kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","title":{"rendered":"Come DNSCrypt ha risolto il problema dei certificati scaduti introducendo una durata di 24 ore","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Come
\n
\nIn passato, i certificati scadevano spesso perch\u00e9 dovevano essere aggiornati manualmente. Le persone semplicemente dimenticavano di farlo. Con l'arrivo di Let\u2019s Encrypt e delle procedure di aggiornamento automatiche, il problema sembra essere risolto. Ma la recente storia con Firefox<\/a><\/noindex> dimostra che, in realt\u00e0, \u00e8 ancora attuale. Sfortunatamente, i certificati continuano a scadere.<\/p>\n

Se qualcuno si \u00e8 perso questa storia, a mezzanotte del 4 maggio 2019, quasi tutte le estensioni di Firefox hanno smesso di funzionare all'improvviso.
\n<\/a><\/noindex>
\nCome si \u00e8 scoperto, il malfunzionamento di massa \u00e8 stato causato dal fatto che Mozilla ha lasciato scadere un certificato<\/a><\/noindex>, utilizzato per firmare le estensioni. Pertanto, venivano contrassegnate come \u00abnon valide\u00bb e non superavano la verifica (dettagli tecnici<\/a><\/noindex>). Nei forum, come soluzione alternativa, si consigliava di disattivare il controllo delle firme delle estensioni in about:config<\/i> o di cambiare l'ora di sistema.<\/p>\n

Mozilla ha rapidamente rilasciato la patch Firefox 66.0.4, che risolve il problema del certificato non valido, e tutte le estensioni tornano alla normalit\u00e0. Gli sviluppatori consigliano di installarla e di non utilizzare<\/a><\/noindex> non ci sono scorciatoie per bypassare il controllo delle firme, poich\u00e9 potrebbero confliggere con la patch.<\/p>\n

Tuttavia, questa vicenda dimostra ancora una volta che la scadenza dei certificati rimane un problema attuale anche oggi.<\/p>\n

A tal proposito, \u00e8 interessante osservare un modo piuttosto originale in cui i creatori del protocollo hanno affrontato questo compito. DNSCrypt<\/a><\/noindex>. La loro soluzione pu\u00f2 essere divisa in due parti. In primo luogo, ci sono certificati a breve termine. In secondo luogo, un avviso per gli utenti riguardo la scadenza dei certificati a lungo termine.<\/p>\n

DNSCrypt<\/h1>\n

\n\"ComeDNSCrypt \u00e8 un protocollo di crittografia del traffico DNS. Protegge le comunicazioni DNS da intercettazioni e attacchi MiTM, permettendo anche di eludere i blocchi a livello di richieste DNS.<\/p>\n

Il protocollo incapsula il traffico DNS tra il client e il server in una struttura crittografica, funzionando attraverso i protocolli di trasporto UDP e TCP. Per utilizzarlo, sia il client che il risolutore DNS devono supportare DNSCrypt. Ad esempio, dal marzo 2016 \u00e8 stato attivato sui suoi server DNS e nel browser \"Yandex\". Anche alcuni altri fornitori, tra cui Google e Cloudflare, hanno annunciato supporto. Sfortunatamente, non sono molti (sul sito ufficiale sono elencati 152 server DNS pubblici). Ma il programma dnscrypt-proxy<\/a><\/noindex> pu\u00f2 essere installato manualmente su client con Linux, Windows e MacOS. Ci sono anche implementazioni server<\/a><\/noindex>.<\/p>\n

\"Come
\n
\nCome funziona DNSCrypt? In breve, il client utilizza la chiave pubblica del fornitore scelto per verificare i suoi certificati. In quel caso, ci sono chiavi pubbliche a breve termine per la sessione e un identificatore del set di cifrature. Si consiglia ai client di generare una nuova chiave per ogni richiesta, mentre i server dovrebbero cambiare le chiavi ogni 24 ore<\/b>. Nello scambio delle chiavi, viene utilizzato l'algoritmo X25519, per la firma \u2014 EdDSA, per la crittografia a blocchi \u2014 XSalsa20-Poly1305 o XChaCha20-Poly1305.<\/p>\n

Uno degli sviluppatori del protocollo, Frank Denis scrive<\/a><\/noindex>, l'auto-sostituzione ogni 24 ore ha risolto il problema dei certificati scaduti. In linea di principio, il client standard di dnscrypt-proxy accetta certificati con qualsiasi durata, ma emette un avviso \"Il periodo delle chiavi dnscrypt-proxy per questo server \u00e8 troppo lungo\" se \u00e8 valido per pi\u00f9 di 24 ore. \u00c8 stata rilasciata anche un'immagine Docker che implementa un cambio rapido delle chiavi (e dei certificati).<\/p>\n

In primo luogo, ci\u00f2 \u00e8 estremamente utile per la sicurezza: se il server viene compromesso o la chiave trapelata, il traffico di ieri non pu\u00f2 essere decifrato. La chiave \u00e8 gi\u00e0 cambiata. Questo potrebbe rappresentare un problema per l'attuazione della \"legge Yarovaya\", che costringe i fornitori a conservare tutto il traffico, comprese le comunicazioni criptate. Si presume che in seguito possa essere decifrato all'occorrenza, richiedendo la chiave al sito. Ma in questo caso il sito non potr\u00e0 semplicemente fornirla, poich\u00e9 utilizza chiavi a breve termine, eliminando quelle vecchie.<\/p>\n

Ma la cosa principale, scrive Denis, \u00e8 che le chiavi a breve termine costringono i server a impostare l'automazione fin dal primo giorno. Se il server si connette alla rete e gli script di cambio chiave non sono configurati o non funzionano, questo verr\u00e0 immediatamente rilevato.<\/p>\n

Quando l'automazione cambia le chiavi ogni pochi anni, non ci si pu\u00f2 fare affidamento, e le persone possono dimenticare la scadenza del certificato. Con il cambio quotidiano delle chiavi, questo verr\u00e0 scoperto immediatamente.<\/p>\n

Allo stesso tempo, se l'automazione \u00e8 impostata correttamente, non ha importanza quanto frequentemente si cambi le chiavi: ogni anno, ogni trimestre o tre volte al giorno. Se tutto funziona per pi\u00f9 di 24 ore, continuer\u00e0 a funzionare per sempre, scrive Frank Denis. Secondo lui, la raccomandazione di cambiare le chiavi quotidianamente nella seconda versione del protocollo, insieme a un'immagine Docker pronta che implementa questo, ha ridotto in modo efficace il numero di server con certificati scaduti, migliorando al contempo la sicurezza.<\/p>\n

Tuttavia, alcuni provider hanno deciso, per ragioni tecniche, di impostare un periodo di validit\u00e0 del certificato superiore alle 24 ore. Questa problematica \u00e8 stata principalmente risolta con alcune righe di codice in dnscrypt-proxy: gli utenti ricevono un avviso informativo 30 giorni prima della scadenza del certificato, un altro messaggio con un livello di seriet\u00e0 maggiore 7 giorni prima della scadenza e un messaggio critico se rimangono meno di 24 ore. Questo si applica solo ai certificati che inizialmente hanno una lunga durata.<\/p>\n

Tali messaggi danno agli utenti la possibilit\u00e0 di informare gli operatori DNS sulla prossima scadenza del certificato, prima che sia troppo tardi. <\/p>\n

Forse, se tutti gli utenti di Firefox ricevessero un messaggio del genere, qualcuno lo segnalerebbe agli sviluppatori e non permetterebbe la scadenza del certificato. \u00abNon ricordo alcun server DNSCrypt della lista pubblica di server DNS il cui certificato sia scaduto negli ultimi due o tre anni\u00bb, scrive Frank Denis. In ogni caso, \u00e8 meglio avvertire prima gli utenti piuttosto che disabilitare le estensioni senza preavviso.<\/p>\n

\n\"Come
\n<\/a><\/noindex>
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25203,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Come DNSCrypt ha risolto il problema dei certificati scaduti introducendo un limite di validit\u00e0 di 24 ore | ProHoster","description":"In passato, i certificati scadevano spesso perch\u00e9 dovevano essere aggiornati manualmente. Le persone semplicemente dimenticavano di farlo. Con l'emergere di Let\u2019s Encrypt e di procedure di aggiornamento automatiche, il problema sembrava risolto. Ma la recente vicenda con Firefox dimostra che in effetti \u00e8 ancora attuale. Sfortunatamente, i certificati continuano a scadere. Se qualcuno ha perso questa storia, in","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a DNSCrypt \u0440\u0435\u0448\u0438\u043b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043f\u0440\u043e\u0441\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u0432\u0432\u0435\u0434\u044f \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f 24 \u0447\u0430\u0441\u0430 | ProHoster","og:description":"\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:52:58+00:00","article:modified_time":"2019-10-31T18:52:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33503","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:31:39","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:31:39"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/33503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=33503"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/33503\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/25203"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=33503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=33503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=33503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}