תקציר שבועי בינוני מס' 5 (9 - 16 באוגוסט 2019)

אנחנו שומעים את הביטוי "ביטחון לאומי" כל הזמן, אבל כשהממשלה מתחילה לפקח על התקשורת שלנו, להקליט אותם ללא חשד אמין, בסיס משפטי וללא שום מטרה נראית לעין, עלינו לשאול את עצמנו את השאלה: האם הם באמת מגנים על הביטחון הלאומי או האם הם מגנים על שלהם?

- אדוארד סנודן

תקציר זה נועד להגביר את העניין של הקהילה בנושא הפרטיות, אשר לאור אירועים אחרונים הופך להיות רלוונטי יותר מאי פעם.

על סדר היום:

       חובבי הקהילה של ספק האינטרנט המבוזר "מדיום" יוצרים מנוע חיפוש משלהם
       Medium הקימה רשות אישורים חדשה, Medium Global Root CA. מי יושפע מהשינויים?
       תעודות אבטחה לכל בית - כיצד ליצור שירות משלך ברשת Yggdrasil ולהנפיק עבורו תעודת SSL תקפה

תזכיר לי - מה זה "בינוני"?

בינוני (אנגלית בינוני - "מתווך", סיסמה מקורית - אל תבקש את הפרטיות שלך. קח את זה בחזרה; גם באנגלית המילה בינוני פירושו "בינוני") - ספק אינטרנט מבוזר רוסי המספק שירותי גישה לרשת היגדרזיל בחינם.

שם מלא: ספק שירותי אינטרנט בינוני. בתחילה הפרויקט נוצר כ רשת רשת в רובע עירוני קולומנה.

נוצר באפריל 2019 כחלק מיצירת סביבת תקשורת עצמאית על ידי מתן גישה למשתמשי קצה למשאבי רשת Yggdrasil באמצעות שימוש בטכנולוגיית העברת נתונים אלחוטית Wi-Fi.

מידע נוסף על הנושא: "כל מה שרצית לדעת על ספקית האינטרנט המבוזרת Medium, אבל פחדת לשאול"

חובבי הקהילה של ספק האינטרנט המבוזר "מדיום" יוצרים מנוע חיפוש משלהם

במקור באינטרנט היגדרזיל, שספקית האינטרנט המבוזרת Medium משתמשת בה כתחבורה, לא הייתה לה שרת DNS משלה או תשתית מפתח ציבורי - עם זאת, הצורך בהנפקת אישורי אבטחה עבור שירותי רשת Medium פתר את שתי הבעיות הללו.

למה אתה צריך PKI אם Yggdrasil מחוץ לקופסה מספקת את היכולת להצפין תעבורה בין עמיתים?אין צורך להשתמש ב-HTTPS כדי להתחבר לשירותי אינטרנט ברשת Yggdrasil אם אתה מתחבר אליהם דרך נתב רשת Yggdrasil הפועל באופן מקומי.

ואכן: הובלה של יגדרסיל עומדת בקנה אחד נוהל מאפשר לך להשתמש בבטחה במשאבים בתוך רשת Yggdrasil - יכולת התנהלות התקפות MITM נשלל לחלוטין.

המצב משתנה באופן קיצוני אם אתה ניגש למשאבי האינטראנט של Yggdarsil לא ישירות, אלא דרך צומת ביניים - נקודת הגישה לרשת בינונית, המנוהלת על ידי המפעיל שלה.

במקרה זה, מי יכול לסכן את הנתונים שאתה משדר:

1. מפעיל נקודת גישה. ברור שהמפעיל הנוכחי של נקודת הגישה לרשת בינונית יכול לצותת לתעבורה לא מוצפנת שעוברת בציוד שלה.
2. פּוֹלֵשׁ (איש באמצע). לבינוני יש בעיה דומה ל בעיה ברשת Tor, רק ביחס לקלט וצמתי ביניים.

כך זה נראה

החלטה: כדי לגשת לשירותי אינטרנט בתוך רשת Yggdrasil, השתמש בפרוטוקול HTTPS (רמה 7 דגמי OSI). הבעיה היא שלא ניתן להנפיק תעודת אבטחה אמיתית לשירותי רשת Yggdrasil באמצעים קונבנציונליים כגון בואו להצפין.

לכן הקמנו מרכז הסמכה משלנו - "בסיס גלובלי בינוני CA". הרוב המכריע של השירותים ברשת Medium חתומים על ידי תעודת אבטחת השורש של רשות האישורים הבינונית Medium Domain Validation Secure Server CA.

כמובן שנלקחה בחשבון האפשרות של פגיעה בתעודת השורש של רשות האישורים – אך כאן התעודה נחוצה יותר כדי לאשר את תקינות העברת הנתונים ולבטל את האפשרות של מתקפות MITM.

לשירותי רשת בינוניים ממפעילים שונים יש תעודות אבטחה שונות, בחתימה כזו או אחרת על ידי רשות האישורים הבסיסית. עם זאת, מפעילי Root CA אינם מסוגלים לצותת לתעבורה מוצפנת משירותים אליהם הם חתומים על תעודות אבטחה (ראה "מהי אחריות חברתית?").

מי שמודאג במיוחד לגבי שלומו יכול להשתמש באמצעים כגון הגנה נוספת, כגון PGP и דוֹמֶה.

נכון לעכשיו, לתשתית המפתח הציבורי של רשת Medium יש את היכולת לבדוק את מצב האישור באמצעות הפרוטוקול OCSP או באמצעות שימוש C.R.L..

קרוב יותר לעניין

משתמש @NXShock החלה לפתח מנוע חיפוש לשירותי אינטרנט הממוקם ברשת Yggdrasil. היבט חשוב הוא העובדה שקביעת כתובות IPv6 של שירותים בעת ביצוע חיפוש מתבצעת על ידי שליחת בקשה לשרת DNS הנמצא בתוך הרשת Medium.

ה-TLD העיקרי הוא .ygg. לרוב שמות הדומיינים יש TLD זה, למעט שני חריגים: .isp и .gg.

מנוע החיפוש נמצא בפיתוח, אך השימוש בו אפשרי כבר היום - פשוט כנסו לאתר search.medium.isp.

אתה יכול לעזור בפיתוח הפרויקט, על ידי הצטרפות לפיתוח ב-GitHub.

Medium הקימה רשות אישורים חדשה, Medium Global Root CA. מי יושפע מהשינויים?

אתמול הסתיימה בדיקה פומבית של הפונקציונליות של מרכז ההסמכה Medium Root CA. בתום הבדיקה תוקנו שגיאות בהפעלת שירותי תשתית מפתח ציבורי ונוצרה תעודת שורש חדשה של רשות האישורים "Medium Global Root CA".

כל הניואנסים והתכונות של PKI נלקחו בחשבון - כעת תעודת ה-CA החדשה "Medium Global Root CA" תונפק רק עשר שנים מאוחר יותר (לאחר תאריך התפוגה שלה). כעת תעודות אבטחה מונפקות רק על ידי רשויות אישור ביניים - לדוגמה, "Medium Domain Validation Secure Server CA".

איך נראית שרשרת אמון התעודות כעת?



מה צריך לעשות כדי שהכל יעבוד אם אתה משתמש:

מכיוון ששירותים מסוימים משתמשים ב-HSTS, לפני השימוש במשאבי רשת בינוניים, עליך למחוק נתונים ממשאבי אינטראנט בינוניים. אתה יכול לעשות זאת בכרטיסייה היסטוריה של הדפדפן שלך.

זה גם הכרחי להתקין אישור חדש מרכז הסמכה "Medium Global Root CA".

מה צריך לעשות כדי שהכל יעבוד אם אתה מפעיל מערכת:

עליך להנפיק מחדש את האישור עבור השירות שלך בדף pki.medium.isp (השירות זמין רק ברשת Medium).

תעודות אבטחה לכל בית - כיצד ליצור שירות משלך ברשת Yggdrasil ולהנפיק עבורו תעודת SSL תקפה

עקב הגידול במספר שירותי האינטרא-נט של רשת Medium, גדל הצורך להנפיק תעודות אבטחה חדשות ולהגדיר את השירותים שלהם כך שיתמכו ב-SSL.

מכיוון שהבר הוא משאב טכני, בכל תקציר חדש אחד מפריטי סדר היום יחשוף את המאפיינים הטכניים של תשתית הרשת הבינונית. לדוגמה, להלן הנחיות מקיפות להנפקת אישור SSL עבור השירות שלך.

הדוגמאות יציינו את שם הדומיין domain.ygg, אותו יש להחליף בשם הדומיין של השירות שלך.

שלב 1. צור מפתח פרטי ופרמטרים של דיפי-הלמן

openssl genrsa -out domain.ygg.key 2048

ואז:

openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

שלב 2. צור בקשת חתימה על אישור

openssl req -new -key domain.ygg.key -out domain.ygg.csr -config domain.ygg.conf

תוכן הקובץ domain.ygg.conf:

[ req ]
default_bits                = 2048
distinguished_name          = req_distinguished_name
x509_extensions             = v3_req

[ req_distinguished_name ]
countryName                 = Country Name (2 letter code)
countryName_default         = RU
stateOrProvinceName         = State or Province Name (full name)
stateOrProvinceName_default = Moscow Oblast
localityName                = Locality Name (eg, city)
localityName_default        = Kolomna
organizationName            = Organization Name (eg, company)
organizationName_default    = ACME, Inc.
commonName                  = Common Name (eg, YOUR name)
commonName_max              = 64
commonName_default          = *.domain.ygg

[ v3_req ]
subjectKeyIdentifier        = hash
keyUsage                    = critical, digitalSignature, keyEncipherment
extendedKeyUsage            = serverAuth
basicConstraints            = CA:FALSE
nsCertType                  = server
authorityKeyIdentifier      = keyid,issuer:always
crlDistributionPoints       = URI:http://crl.medium.isp/Medium_Global_Root_CA.crl
authorityInfoAccess         = OCSP;URI:http://ocsp.medium.isp

שלב 3. הגש בקשה לאישור

לשם כך, העתק את תוכן הקובץ domain.ygg.csr והדבק אותו בשדה הטקסט באתר pki.medium.isp.

עקוב אחר ההוראות המפורטות באתר ולאחר מכן לחץ על "שלח". אם תצליח, תישלח הודעה לכתובת המייל שציינת המכילה קובץ מצורף בצורת תעודה חתומה על ידי רשות אישורים ביניים.

שלב 4. הגדר את שרת האינטרנט שלך

אם אתה משתמש ב-nginx כשרת האינטרנט שלך, השתמש בתצורה הבאה:

קובץ domain.ygg.conf בספרייה /etc/nginx/sites-available/

server {
    listen [::]:80;
    listen [::]:443 ssl;

    root /var/www/domain.ygg;
    index index.php index.html index.htm index.nginx-debian.html;

    server_name domain.ygg;

    include snippets/domain.ygg.conf;
    include snippets/ssl-params.conf;

    location = /favicon.ico { log_not_found off; access_log off; }
    location = /robots.txt { log_not_found off; access_log off; allow all; }
    location ~* .(css|gif|ico|jpeg|jpg|js|png)$ {
        expires max;
        log_not_found off;
    }

    location / {
        try_files $uri $uri/ /index.php$is_args$args;
    }

    location ~ .php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php7.0-fpm.sock;
    }

    location ~ /.ht {
        deny all;
    }
}

קובץ ssl-params.conf בספרייה /etc/nginx/snippets/

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH";
ssl_ecdh_curve secp384r1;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;

add_header Strict-Transport-Security "max-age=15552000; preload";
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;

ssl_dhparam /etc/ssl/certs/dhparam.pem;

קובץ domain.ygg.conf בספרייה /etc/nginx/snippets/

ssl_certificate /etc/ssl/certs/domain.ygg.crt;
ssl_certificate_key /etc/ssl/private/domain.ygg.key;

יש להעתיק את האישור שקיבלת במייל אל: /etc/ssl/certs/domain.ygg.crt. מפתח פרטי (domain.ygg.key) מקם אותו בספרייה /etc/ssl/private/.

שלב 5. הפעל מחדש את שרת האינטרנט שלך

sudo service nginx restart

אינטרנט חינם ברוסיה מתחיל בך

אתה יכול לספק את כל הסיוע האפשרי להקמת אינטרנט חינם ברוסיה היום. ריכזנו רשימה מקיפה של איך בדיוק תוכלו לעזור לרשת:

• ספר לחברים ולקולגות שלך על רשת Medium. לַחֲלוֹק הפניה למאמר זה ברשתות חברתיות או בבלוג אישי
• קח חלק בדיון בנושאים טכניים ברשת Medium ב-GitHub
• צור את שירות האינטרנט שלך ברשת Yggdrasil והוסף אותו אליו DNS של רשת Medium
• תעלה את שלך נקודת גישה לרשת Medium

מהדורות קודמות:

   תקציר שבועי בינוני מס' 1 (12 - 19 ביולי 2019)
   תקציר שבועי בינוני מס' 2 (19 - 26 ביולי 2019)
   תקציר שבועי בינוני מס' 3 (26 ביולי - 2 באוגוסט 2019)
   תקציר שבועי בינוני מס' 4 (2 - 9 באוגוסט 2019)

ראה גם:

כל מה שרציתם לדעת על ספקית האינטרנט המבוזרת Medium, אבל פחדתם לשאול
מותק, אנחנו הורגים את האינטרנט
ספק אינטרנט מבוזר "בינוני" - שלושה חודשים לאחר מכן

אנחנו בטלגרם: @medium_isp

רק משתמשים רשומים יכולים להשתתף בסקר. להתחברבבקשה.

הצבעה חלופית: חשוב לנו לדעת את דעתם של מי שאין לו חשבון מלא ב-Habré

• ↑

• ↓

7 משתמשים הצביעו. 2 משתמשים נמנעו.

מקור: www.habr.com