საშუალო ყოველკვირეული დაიჯესტი #5 (9 - 16 აგვისტო 2019)

ჩვენ მუდმივად გვესმის ფრაზა „ეროვნული უსაფრთხოება“, მაგრამ როდესაც მთავრობა იწყებს ჩვენი კომუნიკაციების მონიტორინგს, მათ ჩაწერას სარწმუნო ეჭვის, სამართლებრივი საფუძვლისა და ყოველგვარი აშკარა მიზნის გარეშე, საკუთარ თავს უნდა დავუსვათ კითხვა: მართლა იცავენ ისინი ეროვნულ უსაფრთხოებას თუ ისინი იცავენ საკუთარ თავს?

- ედვარდ სნოუდენი

ეს დაიჯესტი მიზნად ისახავს გაზარდოს საზოგადოების ინტერესი კონფიდენციალურობის საკითხში, რაც, იმის გათვალისწინებით, რომ უახლესი მოვლენები ხდება უფრო აქტუალური, ვიდრე ოდესმე.

დღის წესრიგში:

       დეცენტრალიზებული ინტერნეტ პროვაიდერის "Medium" საზოგადოების ენთუზიასტები ქმნიან საკუთარ საძიებო სისტემას.
       Medium-მა დააფუძნა ახალი სერტიფიცირების ორგანო, Medium Global Root CA. ვის შეეხება ცვლილებები?
       უსაფრთხოების სერთიფიკატები ყველა სახლისთვის - როგორ შექმნათ თქვენი საკუთარი სერვისი Yggdrasil ქსელში და გასცეთ მისთვის მოქმედი SSL სერთიფიკატი

შემახსენე - რა არის "საშუალო"?

საშუალო (ინგლისური საშუალო - "შუამავალი", ორიგინალური სლოგანი - ნუ ითხოვთ თქვენს კონფიდენციალურობას. უკან წაიღე; ასევე ინგლისურად სიტყვა საშუალო ნიშნავს "შუალედს") - რუსული დეცენტრალიზებული ინტერნეტ პროვაიდერი, რომელიც უზრუნველყოფს ქსელის წვდომის სერვისებს Yggdrasil არავითარ ფასად.

სრული სახელი: საშუალო ინტერნეტ სერვისის პროვაიდერი. თავდაპირველად პროექტი ჩაფიქრებული იყო როგორც ბადის ქსელი в კოლომნას ურბანული რაიონი.

ჩამოყალიბდა 2019 წლის აპრილში, როგორც დამოუკიდებელი სატელეკომუნიკაციო გარემოს შექმნის ნაწილი, საბოლოო მომხმარებლებისთვის Yggdrasil ქსელის რესურსებზე წვდომის მიწოდებით, Wi-Fi უკაბელო მონაცემთა გადაცემის ტექნოლოგიის გამოყენებით.

დამატებითი ინფორმაცია თემაზე: ”ყველაფერი, რაც გინდოდათ იცოდეთ დეცენტრალიზებული ინტერნეტ პროვაიდერის Medium-ის შესახებ, მაგრამ გეშინოდათ გეკითხათ”

დეცენტრალიზებული ინტერნეტ პროვაიდერის "Medium" საზოგადოების ენთუზიასტები ქმნიან საკუთარ საძიებო სისტემას.

თავდაპირველად ონლაინ Yggdrasil, რომელსაც დეცენტრალიზებული ინტერნეტ სერვისის პროვაიდერი Medium იყენებს როგორც ტრანსპორტი, არ გააჩნდა საკუთარი DNS სერვერი ან საჯარო გასაღების ინფრასტრუქტურა - თუმცა, უსაფრთხოების სერთიფიკატების გაცემის აუცილებლობამ საშუალო ქსელის სერვისებისთვის გადაჭრა ეს ორი პრობლემა.

რატომ გჭირდებათ PKI, თუ Yggdrasil out of box უზრუნველყოფს შესაძლებლობას დაშიფვროს ტრაფიკი თანატოლებს შორის?არ არის საჭირო HTTPS-ის გამოყენება Yggdrasil ქსელის ვებ სერვისებთან დასაკავშირებლად, თუ მათ უკავშირდებით ადგილობრივად გაშვებული Yggdrasil ქსელის როუტერის საშუალებით.

მართლაც: Yggdrasil ტრანსპორტი ტოლია ოქმი საშუალებას გაძლევთ უსაფრთხოდ გამოიყენოთ რესურსები Yggdrasil ქსელში - ჩატარების შესაძლებლობა MITM შეტევები სრულიად გამორიცხული.

სიტუაცია რადიკალურად იცვლება, თუ თქვენ წვდებით Yggdarsil-ის ინტრანეტის რესურსებს არა პირდაპირ, არამედ შუალედური კვანძის მეშვეობით - საშუალო ქსელის წვდომის წერტილი, რომელსაც მართავს მისი ოპერატორი.

ამ შემთხვევაში, ვის შეუძლია დააზიანოს თქვენს მიერ გადაცემული მონაცემები:

1. წვდომის წერტილის ოპერატორი. აშკარაა, რომ საშუალო ქსელის წვდომის წერტილის ამჟამინდელ ოპერატორს შეუძლია მოისმინოს დაშიფრული ტრაფიკი, რომელიც გადის მის აღჭურვილობაში.
2. შემოჭრილი (კაცი შუაში). საშუალოს აქვს მსგავსი პრობლემა Tor ქსელის პრობლემა, მხოლოდ შეყვანის და შუალედური კვანძების მიმართ.

ასე გამოიყურება

გადაწყვეტილება: Yggdrasil ქსელში ვებ სერვისებზე წვდომისთვის გამოიყენეთ HTTPS პროტოკოლი (დონე 7 OSI მოდელები). პრობლემა ის არის, რომ შეუძლებელია Yggdrasil ქსელის სერვისების ნამდვილი უსაფრთხოების სერტიფიკატის გაცემა ჩვეულებრივი საშუალებებით, როგორიცაა მოდით დაასრულა.

ამიტომ, ჩვენ დავაარსეთ ჩვენი საკუთარი სერტიფიცირების ცენტრი - "Medium Global Root CA". Medium ქსელში სერვისების აბსოლუტური უმრავლესობა ხელმოწერილია შუალედური სერტიფიკაციის ორგანოს საშუალო დომენის Validation Secure Server CA-ს ძირეული უსაფრთხოების სერტიფიკატით.

რა თქმა უნდა, გათვალისწინებული იყო სერტიფიცირების ორგანოს ძირეული სერტიფიკატის კომპრომეტირების შესაძლებლობა - მაგრამ აქ სერთიფიკატი უფრო საჭიროა მონაცემთა გადაცემის მთლიანობის დასადასტურებლად და MITM შეტევების შესაძლებლობის აღმოსაფხვრელად.

სხვადასხვა ოპერატორების საშუალო ქსელის სერვისებს აქვთ უსაფრთხოების სხვადასხვა სერთიფიკატი, ამა თუ იმ გზით, ხელმოწერილი root სერტიფიკაციის ორგანოს მიერ. თუმცა, Root CA ოპერატორებს არ შეუძლიათ დაშიფრული ტრაფიკის მოსმენა სერვისებიდან, რომლებზეც მათ ხელი მოაწერეს უსაფრთხოების სერტიფიკატებს (იხ. "რა არის CSR?").

მათ, ვინც განსაკუთრებით ზრუნავს მათ უსაფრთხოებაზე, შეუძლიათ გამოიყენონ ისეთი საშუალებები, როგორიცაა დამატებითი დაცვა, მაგ PGP и მსგავსი.

ამჟამად, საშუალო ქსელის საჯარო გასაღების ინფრასტრუქტურას აქვს შესაძლებლობა შეამოწმოს სერთიფიკატის სტატუსი პროტოკოლის გამოყენებით. OCSP ან გამოყენების გზით CRL.

გადადით აზრამდე

მომხმარებელი @NXShock დაიწყო Yggdrasil ქსელში განთავსებული ვებ სერვისების საძიებო სისტემის შემუშავება. მნიშვნელოვანი ასპექტია ის ფაქტი, რომ სერვისების IPv6 მისამართების განსაზღვრა ძიების განხორციელებისას ხორციელდება მოთხოვნის გაგზავნით DNS სერვერზე, რომელიც მდებარეობს Medium ქსელში.

მთავარი TLD არის .იგგ. დომენის სახელების უმეტესობას აქვს ეს TLD, ორი გამონაკლისის გარდა: .ისპ и .ge.

საძიებო სისტემა დამუშავების პროცესშია, მაგრამ მისი გამოყენება დღეს უკვე შესაძლებელია - უბრალოდ ეწვიეთ ვებგვერდს ძებნა.medium.isp.

თქვენ შეგიძლიათ დაეხმაროთ პროექტის განვითარებას, GitHub-ზე განვითარებაში შეერთებით.

Medium-მა დააფუძნა ახალი სერტიფიცირების ორგანო, Medium Global Root CA. ვის შეეხება ცვლილებები?

გუშინ დასრულდა Medium Root CA სერტიფიცირების ცენტრის ფუნქციონირების საჯარო ტესტირება. ტესტირების დასასრულს გამოსწორდა შეცდომები საჯარო გასაღების ინფრასტრუქტურის სერვისების მუშაობაში და შეიქმნა სერტიფიკაციის ორგანოს ახალი ძირეული სერტიფიკატი „Medium Global Root CA“.

გათვალისწინებული იქნა PKI-ს ყველა ნიუანსი და მახასიათებელი - ახლა ახალი CA სერთიფიკატი "Medium Global Root CA" გაიცემა მხოლოდ ათი წლის შემდეგ (მისი ვადის გასვლის შემდეგ). ახლა უსაფრთხოების სერთიფიკატები გაიცემა მხოლოდ შუალედური სერტიფიკაციის ორგანოების მიერ - მაგალითად, "საშუალო დომენის დადასტურების უსაფრთხო სერვერი CA".

როგორ გამოიყურება ახლა სერტიფიკატების ნდობის ჯაჭვი?



რა უნდა გაკეთდეს იმისათვის, რომ ყველაფერი იმუშაოს, თუ მომხმარებელი ხართ:

ვინაიდან ზოგიერთი სერვისი იყენებს HSTS-ს, საშუალო ქსელის რესურსების გამოყენებამდე თქვენ უნდა წაშალოთ მონაცემები საშუალო ინტრანეტის რესურსებიდან. ამის გაკეთება შეგიძლიათ თქვენი ბრაუზერის ისტორიის ჩანართში.

Также необходимо დააინსტალირეთ ახალი სერთიფიკატი სასერთიფიკატო ცენტრი "Medium Global Root CA".

რა უნდა გაკეთდეს იმისათვის, რომ ყველაფერი იმუშაოს, თუ სისტემის ოპერატორი ხართ:

თქვენ უნდა ხელახლა გასცეთ სერტიფიკატი თქვენი სერვისისთვის გვერდზე pki.medium.isp (მომსახურება ხელმისაწვდომია მხოლოდ საშუალო ქსელში).

უსაფრთხოების სერთიფიკატები ყველა სახლისთვის - როგორ შექმნათ თქვენი საკუთარი სერვისი Yggdrasil ქსელში და გასცეთ მისთვის მოქმედი SSL სერთიფიკატი

Medium ქსელში ინტრანეტის სერვისების რაოდენობის ზრდის გამო, გაიზარდა უსაფრთხოების ახალი სერთიფიკატების გაცემის და მათი სერვისების კონფიგურაციის საჭიროება, რათა მათ მხარი დაუჭირონ SSL-ს.

ვინაიდან Habr არის ტექნიკური რესურსი, ყოველ ახალ დაიჯესტში დღის წესრიგის ერთ-ერთი პუნქტი გამოავლენს საშუალო ქსელის ინფრასტრუქტურის ტექნიკურ მახასიათებლებს. მაგალითად, ქვემოთ მოცემულია ყოვლისმომცველი ინსტრუქციები თქვენი სერვისისთვის SSL სერთიფიკატის გაცემის შესახებ.

მაგალითები მიუთითებს დომენის სახელზე domain.ygg, რომელიც უნდა შეიცვალოს თქვენი სერვისის დომენის სახელით.

ნაბიჯი 1. შექმენით პირადი გასაღები და Diffie-Hellman პარამეტრები

openssl genrsa -out domain.ygg.key 2048

მაშინ:

openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

ნაბიჯი 2. შექმენით სერტიფიკატის ხელმოწერის მოთხოვნა

openssl req -new -key domain.ygg.key -out domain.ygg.csr -config domain.ygg.conf

ფაილის შინაარსი domain.ygg.conf:

[ req ]
default_bits                = 2048
distinguished_name          = req_distinguished_name
x509_extensions             = v3_req

[ req_distinguished_name ]
countryName                 = Country Name (2 letter code)
countryName_default         = RU
stateOrProvinceName         = State or Province Name (full name)
stateOrProvinceName_default = Moscow Oblast
localityName                = Locality Name (eg, city)
localityName_default        = Kolomna
organizationName            = Organization Name (eg, company)
organizationName_default    = ACME, Inc.
commonName                  = Common Name (eg, YOUR name)
commonName_max              = 64
commonName_default          = *.domain.ygg

[ v3_req ]
subjectKeyIdentifier        = hash
keyUsage                    = critical, digitalSignature, keyEncipherment
extendedKeyUsage            = serverAuth
basicConstraints            = CA:FALSE
nsCertType                  = server
authorityKeyIdentifier      = keyid,issuer:always
crlDistributionPoints       = URI:http://crl.medium.isp/Medium_Global_Root_CA.crl
authorityInfoAccess         = OCSP;URI:http://ocsp.medium.isp

ნაბიჯი 3. გაგზავნეთ სერთიფიკატის მოთხოვნა

ამისათვის დააკოპირეთ ფაილის შინაარსი domain.ygg.csr და ჩასვით იგი საიტის ტექსტურ ველში pki.medium.isp.

მიჰყევით ვებსაიტზე მითითებულ ინსტრუქციას, შემდეგ დააჭირეთ ღილაკს "გაგზავნა". წარმატების შემთხვევაში, შეტყობინება გაიგზავნება თქვენ მიერ მითითებულ ელ.ფოსტის მისამართზე, რომელიც შეიცავს დანართს სერტიფიკატის სახით, რომელსაც ხელს აწერს შუალედური სერტიფიცირების ორგანო.

ნაბიჯი 4. დააყენეთ თქვენი ვებ სერვერი

თუ იყენებთ nginx-ს თქვენს ვებ სერვერად, გამოიყენეთ შემდეგი კონფიგურაცია:

ფაილი domain.ygg.conf დირექტორიაში /etc/nginx/sites-available/

server {
    listen [::]:80;
    listen [::]:443 ssl;

    root /var/www/domain.ygg;
    index index.php index.html index.htm index.nginx-debian.html;

    server_name domain.ygg;

    include snippets/domain.ygg.conf;
    include snippets/ssl-params.conf;

    location = /favicon.ico { log_not_found off; access_log off; }
    location = /robots.txt { log_not_found off; access_log off; allow all; }
    location ~* .(css|gif|ico|jpeg|jpg|js|png)$ {
        expires max;
        log_not_found off;
    }

    location / {
        try_files $uri $uri/ /index.php$is_args$args;
    }

    location ~ .php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php7.0-fpm.sock;
    }

    location ~ /.ht {
        deny all;
    }
}

ფაილი ssl-params.conf დირექტორიაში /etc/nginx/snippets/

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH";
ssl_ecdh_curve secp384r1;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;

add_header Strict-Transport-Security "max-age=15552000; preload";
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;

ssl_dhparam /etc/ssl/certs/dhparam.pem;

ფაილი domain.ygg.conf დირექტორიაში /etc/nginx/snippets/

ssl_certificate /etc/ssl/certs/domain.ygg.crt;
ssl_certificate_key /etc/ssl/private/domain.ygg.key;

ელფოსტით მიღებული სერთიფიკატი უნდა დაკოპირდეს: /etc/ssl/certs/domain.ygg.crt. პირადი გასაღები (domain.ygg.key) განათავსეთ იგი დირექტორიაში /etc/ssl/პირადი/.

ნაბიჯი 5. გადატვირთეთ თქვენი ვებ სერვერი

sudo service nginx restart

უფასო ინტერნეტი რუსეთში იწყება თქვენთან ერთად

თქვენ შეგიძლიათ ყველა შესაძლო დახმარება გაუწიოთ რუსეთში უფასო ინტერნეტის ჩამოყალიბებას დღეს. ჩვენ შევადგინეთ ყოვლისმომცველი სია, თუ როგორ შეგიძლიათ დაეხმაროთ ქსელს:

• უთხარით თქვენს მეგობრებს და კოლეგებს Medium ქსელის შესახებ. გააზიარეთ მითითება ამ სტატიას სოციალურ ქსელებში ან პირად ბლოგზე
• მიიღეთ მონაწილეობა ტექნიკური საკითხების განხილვაში Medium ქსელში GitHub-ზე
• შექმენით თქვენი ვებ სერვისი Yggdrasil ქსელში და დაამატეთ იგი საშუალო ქსელის DNS
• აწიე შენი წვდომის წერტილი საშუალო ქსელში

წინა რელიზები:

   საშუალო ყოველკვირეული დაიჯესტი #1 (12 - 19 ივლისი, 2019)
   საშუალო ყოველკვირეული დაიჯესტი #2 (19 - 26 ივლისი, 2019)
   საშუალო ყოველკვირეული დაიჯესტი #3 (26 ივლისი - 2 აგვისტო 2019)
   საშუალო ყოველკვირეული დაიჯესტი #4 (2 - 9 აგვისტო 2019)

აგრეთვე იხილე:

ყველაფერი რაც გინდოდათ იცოდეთ დეცენტრალიზებული ინტერნეტ პროვაიდერის Medium-ის შესახებ, მაგრამ გეშინოდათ გეკითხათ
ძვირფასო, ჩვენ ვკლავთ ინტერნეტს
დეცენტრალიზებული ინტერნეტ პროვაიდერი "Medium" - სამი თვის შემდეგ

ჩვენ Telegram- ზე: @medium_isp

გამოკითხვაში მონაწილეობა შეუძლიათ მხოლოდ დარეგისტრირებულ მომხმარებლებს. Შებრძანდითგთხოვთ

ალტერნატიული ხმის მიცემა: ჩვენთვის მნიშვნელოვანია ვიცოდეთ მათი აზრი, ვისაც არ აქვს სრული ანგარიში Habré-ზე

• ↑

• ↓

მისცა ხმა 7 მომხმარებელმა. 2 მომხმარებელმა თავი შეიკავა.

წყარო: www.habr.com