წარსულში, სერთიფიკატები ხშირად იწურებოდა, რადგან ისინი ხელებით უნდა განახლებულიყო. ხალხს უბრალოდ დაავიწყდა ამის გაკეთება. Let's Encrypt-ის და ავტომატური განახლების პროცედურის მოსვლასთან ერთად, როგორც ჩანს, პრობლემა უნდა მოგვარდეს. მაგრამ ბოლო Firefox-ის ამბავი აჩვენებს, რომ ის, ფაქტობრივად, ჯერ კიდევ აქტუალურია. სამწუხაროდ, სერთიფიკატების ვადა გრძელდება.

თუ ამბავი გამოტოვეთ, 4 წლის 2019 მაისის შუაღამისას, Firefox-ის თითქმის ყველა გაფართოება მოულოდნელად შეწყვიტა მუშაობა.

როგორც გაირკვა, მასიური მარცხი მოხდა იმის გამო, რომ Mozilla სერთიფიკატს ვადა გაუვიდა, რომელიც გამოიყენებოდა გაფართოებების ხელმოწერისთვის. ამიტომ, ისინი მონიშნული იყო, როგორც „არასწორი“ და არ იყო დამოწმებული (ტექნიკური დეტალები). ფორუმებზე, გამოსავლის გამოსავალად, რეკომენდებული იყო გაფართოების ხელმოწერის გადამოწმების გამორთვა შესახებ: config ან სისტემის საათის შეცვლა.

Mozilla-მ სწრაფად გამოუშვა Firefox 66.0.4 პატჩი, რომელიც აგვარებს პრობლემას არასწორი სერთიფიკატით და ყველა გაფართოება უბრუნდება ნორმალურ რეჟიმში. დეველოპერები გირჩევენ დააინსტალიროთ და არ გამოიყენოთ არ არსებობს გამოსავალი ხელმოწერის გადამოწმების გვერდის ავლით, რადგან ისინი შეიძლება ეწინააღმდეგებოდეს პატჩს.

თუმცა, ეს ამბავი კიდევ ერთხელ აჩვენებს, რომ სერტიფიკატის ვადის გასვლა დღეს აქტუალურ საკითხად რჩება.

ამ მხრივ, საინტერესოა შევხედოთ საკმაოდ ორიგინალურ გზას, თუ როგორ გაუმკლავდნენ პროტოკოლის შემქმნელებმა ამ ამოცანას DNSCrypt. მათი გამოსავალი შეიძლება დაიყოს ორ ნაწილად. პირველ რიგში, ეს არის მოკლევადიანი სერთიფიკატები. მეორეც, მომხმარებლების გაფრთხილება გრძელვადიანი ვადის გასვლის შესახებ.

DNSCrypt

DNSCrypt არის DNS ტრაფიკის დაშიფვრის პროტოკოლი. ის იცავს DNS კომუნიკაციებს ჩარევისა და MiTM-ისგან და ასევე გაძლევთ საშუალებას გვერდის ავლით დაბლოკოთ DNS მოთხოვნის დონეზე.

პროტოკოლი ახვევს DNS ტრაფიკს კლიენტსა და სერვერს შორის კრიპტოგრაფიულ კონსტრუქციაში, რომელიც მოქმედებს UDP და TCP სატრანსპორტო პროტოკოლებზე. მის გამოსაყენებლად, როგორც კლიენტმა, ასევე DNS გადამწყვეტმა უნდა მხარი დაუჭიროს DNSCrypt-ს. მაგალითად, 2016 წლის მარტიდან ის ჩართულია მის DNS სერვერებზე და Yandex ბრაუზერში. რამდენიმე სხვა პროვაიდერმა ასევე გამოაცხადა მხარდაჭერა, მათ შორის Google და Cloudflare. სამწუხაროდ, ბევრი მათგანი არ არის (152 საჯარო DNS სერვერი ჩამოთვლილია ოფიციალურ ვებსაიტზე). მაგრამ პროგრამა dnscrypt-პროქსი შეიძლება ხელით დააინსტალიროთ Linux, Windows და MacOS კლიენტებზე. ასევე არსებობს სერვერის განხორციელებები.

როგორ მუშაობს DNSCrypt? მოკლედ, კლიენტი იღებს არჩეული პროვაიდერის საჯარო გასაღებს და იყენებს მას თავისი სერთიფიკატების შესამოწმებლად. სესიის მოკლევადიანი საჯარო გასაღებები და შიფრული ნაკრების იდენტიფიკატორი უკვე არსებობს. კლიენტებს ურჩევენ, შექმნან ახალი გასაღები თითოეული მოთხოვნისთვის, ხოლო სერვერებს ურჩევენ შეცვალონ გასაღებები ყოველ 24 საათში. გასაღებების გაცვლისას გამოიყენება X25519 ალგორითმი, ხელმოწერისთვის - EdDSA, ბლოკის დაშიფვრისთვის - XSalsa20-Poly1305 ან XChaCha20-Poly1305.

პროტოკოლის ერთ-ერთი შემქმნელი ფრენკ დენისი წერსრომ ავტომატური გამოცვლა ყოველ 24 საათში წყვეტდა ვადაგასული სერტიფიკატების პრობლემას. პრინციპში, dnscrypt-proxy საცნობარო კლიენტი იღებს სერთიფიკატებს ნებისმიერი მოქმედების ვადით, მაგრამ გასცემს გაფრთხილებას "ამ სერვერისთვის dnscrypt-proxy გასაღები პერიოდი ძალიან გრძელია", თუ ის მოქმედებს 24 საათზე მეტი ხნის განმავლობაში. ამავდროულად, გამოვიდა დოკერის სურათი, რომელშიც განხორციელდა გასაღებების (და სერთიფიკატების) სწრაფი შეცვლა.

პირველ რიგში, ის ძალზე სასარგებლოა უსაფრთხოებისთვის: თუ სერვერი დაზიანებულია ან გასაღები გაჟონა, მაშინ გუშინდელი ტრაფიკის გაშიფვრა შეუძლებელია. გასაღები უკვე შეიცვალა. ეს, სავარაუდოდ, პრობლემას შეუქმნის Yarovaya კანონის განხორციელებას, რომელიც აიძულებს პროვაიდერებს შეინახონ მთელი ტრაფიკი, მათ შორის დაშიფრული ტრაფიკი. მნიშვნელობა ის არის, რომ საჭიროების შემთხვევაში მისი გაშიფვრა შესაძლებელია საიტიდან გასაღების მოთხოვნით. მაგრამ ამ შემთხვევაში, საიტი უბრალოდ ვერ უზრუნველყოფს მას, რადგან ის იყენებს მოკლევადიან გასაღებებს, წაშლის ძველებს.

მაგრამ რაც მთავარია, წერს დენისი, მოკლევადიანი გასაღებები აიძულებს სერვერებს დააყენონ ავტომატიზაცია პირველივე დღიდან. თუ სერვერი დაუკავშირდება ქსელს და გასაღების შეცვლის სკრიპტები არ არის კონფიგურირებული ან არ მუშაობს, ეს დაუყოვნებლივ გამოვლინდება.

როდესაც ავტომატიზაცია ცვლის გასაღებებს ყოველ რამდენიმე წელიწადში, მასზე დაყრდნობა შეუძლებელია და ადამიანებს შეუძლიათ დაივიწყონ სერტიფიკატის ვადის გასვლის შესახებ. თუ კლავიშებს ყოველდღიურად შეცვლით, ეს მყისიერად გამოვლინდება.

ამავდროულად, თუ ავტომატიზაცია ნორმალურად არის კონფიგურირებული, მაშინ არ აქვს მნიშვნელობა რამდენად ხშირად იცვლება გასაღებები: ყოველწლიურად, ყოველ კვარტალში ან დღეში სამჯერ. თუ ყველაფერი მუშაობს 24 საათზე მეტ ხანს, ის სამუდამოდ იმუშავებს, წერს ფრენკ დენისი. მისი თქმით, პროტოკოლის მეორე ვერსიაში კლავიშების ყოველდღიური როტაციის რეკომენდაციამ, მზა Docker იმიჯთან ერთად, რომელიც ახორციელებს მას, ეფექტურად შეამცირა ვადაგასული სერთიფიკატების მქონე სერვერების რაოდენობა და ამავდროულად გააუმჯობესა უსაფრთხოება.

თუმცა, ზოგიერთმა პროვაიდერმა მაინც გადაწყვიტა, გარკვეული ტექნიკური მიზეზების გამო, დაეყენებინა სერტიფიკატის მოქმედების ვადა 24 საათზე მეტ ხანს. ეს პრობლემა ძირითადად მოგვარდა კოდის რამდენიმე სტრიქონით dnscrypt-proxy-ში: მომხმარებლები იღებენ საინფორმაციო გაფრთხილებას სერთიფიკატის ვადის გასვლამდე 30 დღით ადრე, მეორე შეტყობინებას უფრო მაღალი სიმძიმის დონის ვადის გასვლამდე 7 დღით ადრე და კრიტიკულ შეტყობინებას, თუ სერტიფიკატს დარჩენილი აქვს. მოქმედების ვადა 24 საათზე ნაკლები. ეს ეხება მხოლოდ სერთიფიკატებს, რომლებსაც თავდაპირველად აქვთ ხანგრძლივი მოქმედების ვადა.

ეს შეტყობინებები მომხმარებლებს აძლევს შესაძლებლობას აცნობონ DNS ოპერატორებს მოახლოებული სერტიფიკატის ვადის გასვლის შესახებ, სანამ ძალიან გვიან არ არის.

შესაძლოა, თუ Firefox-ის ყველა მომხმარებელი მიიღებს ასეთ შეტყობინებას, მაშინ ვინმე ალბათ აცნობებს დეველოპერებს და ისინი არ დაუშვებენ სერტიფიკატის ვადის ამოწურვას. „არ მახსოვს არც ერთი DNSCrypt სერვერი საჯარო DNS სერვერების სიაში, რომელსაც სერთიფიკატის ვადა გაუვიდა ბოლო ორი ან სამი წლის განმავლობაში“, წერს ფრენკ დენისი. ნებისმიერ შემთხვევაში, ალბათ ჯობია პირველ რიგში გააფრთხილო მომხმარებლები, ვიდრე გაფართოებების გამორთვა გაფრთხილების გარეშე.

წყარო: www.habr.com