Firefox-ში დანამატების ბოლოდროინდელი გამორთვის ტექნიკური დეტალები

შენიშვნა მთარგმნელი: მკითხველთა მოხერხებულობისთვის, თარიღები მოცემულია მოსკოვის დროით

ჩვენ ახლახან გამოვტოვეთ ერთ-ერთი სერთიფიკატის ვადა, რომელიც გამოიყენება დანამატების ხელმოწერისთვის. ამან გამოიწვია დამატებების გათიშვა მომხმარებლებისთვის. ახლა, როცა პრობლემა ძირითადად მოგვარებულია, მინდა გაგიზიაროთ მომხდარის და გაწეული სამუშაოს დეტალები.

ფონი: დამატებები და ხელმოწერები

მიუხედავად იმისა, რომ ბევრი ადამიანი იყენებს ბრაუზერს, Firefox-ი მხარს უჭერს გაფართოებებს, სახელწოდებით „დამატებები“. მათი დახმარებით მომხმარებლები ბრაუზერს უმატებენ სხვადასხვა ფუნქციებს. 15 ათასზე მეტი დამატებაა: დან რეკლამის დაბლოკვა დან მართეთ ასობით ჩანართი.

დაინსტალირებული დანამატები უნდა ჰქონდეს ციფრული ხელმოწერა, რომელიც იცავს მომხმარებლებს მავნე დანამატებისგან და მოითხოვს Mozilla-ს თანამშრომლების მიერ დანამატების მინიმალურ განხილვას. ეს მოთხოვნა 2015 წელს შემოვიღეთ, რადგან განვიცდით სერიოზული პრობლემები მავნე დანამატებით.

როგორ მუშაობს: Firefox-ის ყოველი ასლი შეიცავს „ძირეულ სერტიფიკატს“. ამ "ძირის" გასაღები ინახება აპარატურის უსაფრთხოების მოდული (HSM)ქსელში წვდომის გარეშე. ყოველ რამდენიმე წელიწადში, ამ გასაღებით ხელმოწერილია ახალი „შუალედური სერტიფიკატი“, რომელიც გამოიყენება დანამატების ხელმოწერისას. როდესაც დეველოპერი წარადგენს დანამატს, ჩვენ ვქმნით დროებით „დასრულების სერთიფიკატს“ და ვაწერთ ხელს მას შუალედური სერტიფიკატის გამოყენებით. შემდეგ თავად დანამატი ხელმოწერილია საბოლოო სერთიფიკატთან. სქემატურად ეს ასე გამოიყურება.

გთხოვთ გაითვალისწინოთ, რომ თითოეულ სერტიფიკატს აქვს „სუბიექტი“ (ვისზეც გაიცა სერტიფიკატი) და „გამცემი“ (რომელმაც გასცა სერტიფიკატი). ძირეული სერტიფიკატის შემთხვევაში, "subject" = "გამცემი", მაგრამ სხვა სერტიფიკატების გამცემი არის მთავარი სერტიფიკატის საგანი, რომლითაც იგი ხელმოწერილია.

მნიშვნელოვანი პუნქტი: თითოეულ დანამატს ხელს აწერს უნიკალური დასრულების სერტიფიკატი, მაგრამ თითქმის ყოველთვის ეს საბოლოო სერტიფიკატები ხელმოწერილია იმავე შუალედური სერტიფიკატით.

ავტორის შენიშვნა: გამონაკლისი არის ძალიან ძველი დამატებები. იმ დროს გამოიყენებოდა სხვადასხვა შუალედური სერთიფიკატი.

ამ შუალედურმა სერტიფიკატმა პრობლემები გამოიწვია: თითოეული სერტიფიკატი მოქმედებს გარკვეული პერიოდის განმავლობაში. ამ პერიოდამდე ან მის შემდეგ, სერთიფიკატი არასწორია და ბრაუზერი არ გამოიყენებს ამ სერტიფიკატით ხელმოწერილ დანამატებს. სამწუხაროდ, შუალედურ სერტიფიკატს ვადა 4 მაისს დილის 4 საათზე გაუვიდა.

შედეგები მაშინვე არ გამოჩნდა. Firefox არ ამოწმებს დაინსტალირებული დანამატების ხელმოწერებს მუდმივად, არამედ დაახლოებით 24 საათში ერთხელ და გადამოწმების დრო ინდივიდუალურია თითოეული მომხმარებლისთვის. შედეგად, ზოგიერთ ადამიანს პრობლემები დაუყონებლივ შეექმნა, ზოგს კი გაცილებით გვიან. ჩვენ პირველად გავიგეთ პრობლემის შესახებ სერთიფიკატის ვადის გასვლის დროს და მაშინვე დავიწყეთ გამოსავლის ძებნა.

ზიანის შემცირება

როგორც კი მივხვდით, რა მოხდა, შევეცადეთ თავიდან აგვეცილებინა სიტუაციის გაუარესება.

პირველ რიგში, მათ შეწყვიტეს ახალი დამატებების მიღება და ხელმოწერა. ამისთვის ვადაგასული სერტიფიკატის გამოყენებას აზრი არ აქვს. უკან რომ ვიხედები, ვიტყოდი, რომ შეგვეძლო დაგვეტოვებინა ყველაფერი ისე, როგორც იყო. ჩვენ ახლა განვაახლეთ დანამატების მიღება.

მეორეც, მათ დაუყოვნებლივ გაგზავნეს შესწორება, რომელიც ხელს უშლიდა ხელმოწერების ყოველდღიურ შემოწმებას. ამრიგად, ჩვენ გადავარჩინეთ ის მომხმარებლები, რომელთა ბრაუზერს ჯერ არ ჰქონდა დრო ბოლო XNUMX საათის განმავლობაში დაემოწმა დანამატები. ეს შესწორება ახლა ამოღებულია და აღარ არის საჭირო.

პარალელური ოპერაცია

თეორიულად, პრობლემის გადაწყვეტა მარტივია: შექმენით ახალი მოქმედი შუალედური სერტიფიკატი და ხელახლა მოაწერეთ ხელი თითოეულ დანამატს. სამწუხაროდ ეს არ იმუშავებს:

• ჩვენ არ შეგვიძლია სწრაფად ხელახლა ხელი მოვაწეროთ 15 ათას დანამატს ერთდროულად, სისტემა არ არის შექმნილი ასეთი დატვირთვისთვის
• მას შემდეგ რაც ხელს მოვაწერთ დამატებებს, განახლებული ვერსიები უნდა მივაწოდოთ მომხმარებლებს. დანამატების უმეტესობა დაინსტალირებულია Mozilla-ს სერვერებიდან, ამიტომ Firefox იპოვის განახლებებს მომდევნო XNUMX საათის განმავლობაში, მაგრამ ზოგიერთი დეველოპერი ავრცელებს ხელმოწერილ დანამატებს მესამე მხარის არხებით, ამიტომ მომხმარებლებს მოუწევთ ამგვარი დანამატების ხელით განახლება.

ამის ნაცვლად, ჩვენ შევეცადეთ შეგვემუშავებინა შესწორება, რომელიც მიაღწევდა ყველა მომხმარებელს, მათი მხრიდან რაიმე ქმედების მოთხოვნის გარეშე.

საკმაოდ სწრაფად მივედით ორ მთავარ სტრატეგიამდე, რომლებიც პარალელურად გამოვიყენეთ:

• განაახლეთ Firefox სერტიფიკატის მოქმედების პერიოდის შესაცვლელად. ეს აიძულებს არსებულ დანამატებს ისევ ჯადოსნურად იმუშაოს, მაგრამ დასჭირდება Firefox-ის ახალი ვერსიის გამოშვება და გაგზავნა
• შექმენით მოქმედი სერთიფიკატი და როგორმე დაარწმუნეთ Firefox, რომ მიიღოს იგი არსებულის ნაცვლად, რომელსაც ვადა გაუვიდა

ჩვენ გადავწყვიტეთ გამოგვეყენებინა პირველი ვარიანტი, რომელიც საკმაოდ გამოსადეგი ჩანდა. დღის ბოლოს მათ გამოუშვეს მეორე შესწორება (ახალი სერტიფიკატი), რომელზეც მოგვიანებით ვისაუბრებთ.

სერთიფიკატის შეცვლა

როგორც ზემოთ აღვნიშნე, საჭირო იყო:

• შექმენით ახალი მოქმედი სერთიფიკატი
• დააინსტალირეთ ის დისტანციურად Firefox-ში

იმის გასაგებად, თუ რატომ მუშაობს ეს, მოდით უფრო ახლოს მივხედოთ დანამატების გადამოწმების პროცესს. დანამატი თავისთავად მოდის როგორც ფაილების ნაკრები, მათ შორის სერთიფიკატების ჯაჭვი, რომელიც გამოიყენება ხელმოწერისთვის. შედეგად, დანამატის შემოწმება შესაძლებელია, თუ ბრაუზერმა იცის root სერთიფიკატი, რომელიც ჩაშენებულია Firefox-ში აშენების დროს. თუმცა, როგორც უკვე ვიცით, შუალედურ სერტიფიკატს ვადა გაუვიდა, ამიტომ დანამატის გადამოწმება შეუძლებელია.

როდესაც Firefox ცდილობს დანამატის გადამოწმებას, ის არ შემოიფარგლება მხოლოდ დანამატში შემავალი სერთიფიკატების გამოყენებით. ამის ნაცვლად, ბრაუზერი ცდილობს შექმნას სერთიფიკატების მოქმედი ჯაჭვი, დაწყებული დასასრულის სერტიფიკატით და გაგრძელდება მანამ, სანამ არ მივა root. პირველ საფეხურზე ვიწყებთ დასრულების სერტიფიკატით და შემდეგ ვპოულობთ სერთიფიკატს, რომლის საგანია დასასრულის სერტიფიკატის გამცემი (ანუ შუალედური სერტიფიკატი). როგორც წესი, ეს შუალედური სერთიფიკატი მიეწოდება დანამატს, მაგრამ ნებისმიერი სერთიფიკატი ბრაუზერის საცავიდან შეიძლება ასევე იყოს ამ შუალედური სერტიფიკატი. თუ ჩვენ შეგვიძლია დისტანციურად დავამატოთ ახალი მოქმედი სერტიფიკატი სერტიფიკატების მაღაზიაში, Firefox შეეცდება გამოიყენოს იგი. სიტუაცია ახალი სერტიფიკატის დაყენებამდე და შემდეგ.

ახალი სერთიფიკატის დაყენების შემდეგ Firefox-ს ექნება ორი ვარიანტი სერტიფიკატების ჯაჭვის ვალიდაციისას: გამოიყენოს ძველი არასწორი სერტიფიკატი (რომელიც არ იმუშავებს) ან ახალი მოქმედი სერტიფიკატი (რომელიც იმუშავებს). მნიშვნელოვანია, რომ ახალი სერტიფიკატი შეიცავდეს იგივე საგნის სახელს და საჯარო გასაღების, როგორც ძველი სერტიფიკატი, ამიტომ მისი ხელმოწერა საბოლოო სერტიფიკატზე იქნება მოქმედი. Firefox საკმარისად ჭკვიანია იმისთვის, რომ სცადოს ორივე ვარიანტი, სანამ არ იპოვის ისეთს, რომელიც მუშაობს, ასე რომ, დანამატები კვლავ ტესტირება ხდება. გაითვალისწინეთ, რომ ეს არის იგივე ლოგიკა, რომელსაც ვიყენებთ TLS სერთიფიკატების დასადასტურებლად.

ავტორის შენიშვნა: WebPKI-ს ნაცნობი მკითხველი შენიშნავს, რომ ჯვარედინი სერთიფიკატები ზუსტად იგივენაირად მუშაობს.

ამ გამოსწორების შესანიშნავი რამ არის ის, რომ არ საჭიროებს ხელახლა ხელმოწერა არსებულ დანამატებს. როგორც კი ბრაუზერი მიიღებს ახალ სერტიფიკატს, ყველა დანამატი კვლავ იმუშავებს. დარჩენილი გამოწვევა არის ახალი სერტიფიკატის მიწოდება მომხმარებლებისთვის (ავტომატურად და დისტანციურად), ასევე Firefox-ის ხელახლა შემოწმება გამორთული დანამატების.

ნორმანდია და კვლევის სისტემა

ბედის ირონიით, ეს პრობლემა მოგვარებულია სპეციალური დანამატით, სახელწოდებით "სისტემა". კვლევის ჩასატარებლად ჩვენ შევიმუშავეთ სისტემა სახელად ნორმანდია, რომელიც აწვდის კვლევას მომხმარებლებს. ეს კვლევები ავტომატურად ტარდება ბრაუზერში და აქვს გაძლიერებული წვდომა Firefox-ის შიდა API-ებზე. კვლევას შეუძლია ახალი სერთიფიკატების დამატება სერტიფიკატების მაღაზიაში.

ავტორის შენიშვნა: ჩვენ არ ვამატებთ სერთიფიკატს რაიმე განსაკუთრებული პრივილეგიებით; ის ხელმოწერილია root სერტიფიკატით, ამიტომ Firefox ენდობა მას. ჩვენ უბრალოდ ვამატებთ მას სერთიფიკატების აუზში, რომელიც შეიძლება გამოიყენოს ბრაუზერმა.

ასე რომ, გამოსავალი არის კვლევის შექმნა:

• ჩვენ მიერ მომხმარებლებისთვის შექმნილი ახალი სერტიფიკატის დაყენება
• აიძულებს ბრაუზერს ხელახლა შეამოწმოს გამორთული დანამატები, რათა მათ კვლავ იმუშაონ

"მაგრამ დაელოდეთ," ამბობთ თქვენ, "დამატებები არ მუშაობს, როგორ შემიძლია სისტემის დამატება?" მოდი ხელი მოვაწეროთ მას ახალი სერთიფიკატით!

ამ ყველაფრის ერთად შეკრება... რატომ ჭირდება ამდენი დრო?

ასე რომ, გეგმა: გასცეს ახალი სერთიფიკატი ძველის შესაცვლელად, შექმენით სისტემის დანამატი და დააინსტალირეთ მომხმარებლებისთვის ნორმანდიის გავლით. პრობლემები, როგორც ვთქვი, დაიწყო 4 მაისს 4:00 საათზე და უკვე იმავე დღის 12:44 საათზე, 9 საათზე ნაკლებ დროში, ნორმანდიაში გამოვგზავნეთ. მას კიდევ 6-12 საათი დასჭირდა, რომ ყველა მომხმარებლამდე მიაღწია. სულაც არ არის ცუდი, მაგრამ Twitter-ზე ადამიანები კითხულობენ, რატომ არ შეგვეძლო უფრო სწრაფად ვიმოქმედოთ.

პირველ რიგში, დრო დასჭირდა ახალი შუალედური სერტიფიკატის გაცემას. როგორც ზემოთ აღვნიშნე, root სერტიფიკატის გასაღები ინახება ოფლაინ ტექნიკის უსაფრთხოების მოდულში. ეს კარგია უსაფრთხოების თვალსაზრისით, რადგან root გამოიყენება ძალიან იშვიათად და საიმედოდ უნდა იყოს დაცული, მაგრამ ოდნავ მოუხერხებელია, როდესაც სასწრაფოდ გჭირდებათ ახალი სერთიფიკატის ხელმოწერა. ჩვენს ერთ-ერთ ინჟინერს მოუწია გამგზავრება HSM-ის შესანახ ობიექტში. შემდეგ იყო წარუმატებელი მცდელობები სწორი სერთიფიკატის გაცემისა და ყოველი მცდელობა ტესტირებაზე დახარჯული ერთი ან ორი საათი ღირდა.

მეორეც, სისტემის დანამატის განვითარებას გარკვეული დრო დასჭირდა. კონცეპტუალურად ძალიან მარტივია, მაგრამ მარტივი პროგრამებიც კი ზრუნვას მოითხოვს. ჩვენ გვინდოდა დაგვერწმუნებინა, რომ სიტუაცია არ გავაუარესოთ. კვლევა მომხმარებლებისთვის გაგზავნამდე უნდა შემოწმდეს. გარდა ამისა, დამატება უნდა იყოს ხელმოწერილი, მაგრამ ჩვენი დანამატის ხელმოწერის სისტემა გათიშული იყო, ამიტომ გამოსავალი უნდა გვეპოვა.

დაბოლოს, მას შემდეგ რაც კვლევა მზად გვქონდა წარდგენისთვის, განლაგებას დრო დასჭირდა. ბრაუზერი ამოწმებს ნორმანდიის განახლებებს ყოველ 6 საათში. ყველა კომპიუტერი ყოველთვის არ არის ჩართული და დაკავშირებული ინტერნეტთან, ამიტომ გამოსწორების მომხმარებლებზე გავრცელებას დრო დასჭირდება.

საბოლოო ნაბიჯები

კვლევამ უნდა მოაგვაროს პრობლემა მომხმარებლების უმეტესობისთვის, მაგრამ ყველასთვის ხელმისაწვდომი არ არის. ზოგიერთი მომხმარებელი მოითხოვს განსაკუთრებულ მიდგომას:

• მომხმარებლები, რომლებსაც გამორთული აქვთ კვლევა ან ტელემეტრია
• Android ვერსიის მომხმარებლები (Fennec), სადაც კვლევა საერთოდ არ არის მხარდაჭერილი
• Firefox ESR-ის პერსონალური ნაგებობების მომხმარებლები საწარმოებში, სადაც ტელემეტრიის ჩართვა შეუძლებელია
• მომხმარებლები, რომლებიც სხედან MitM პროქსიების უკან, რადგან ჩვენი დანამატების ინსტალაციის სისტემა იყენებს გასაღების ჩამაგრებას, რომელიც არ მუშაობს ასეთ პროქსიებთან
• Firefox-ის ძველი ვერსიების მომხმარებლები, რომლებიც არ უჭერენ მხარს კვლევას

ბოლო კატეგორიის მომხმარებლებთან დაკავშირებით ვერაფერს ვიზამთ - ისინი მაინც უნდა განახლდნენ Firefox-ის ახალ ვერსიაზე, რადგან მოძველებულებს აქვთ სერიოზული დაუცველი ხარვეზები. ჩვენ ვიცით, რომ ზოგიერთი ადამიანი რჩება Firefox-ის ძველ ვერსიებზე, რადგან მათ სურთ ძველი დანამატების გაშვება, მაგრამ ბევრი ძველი დანამატი უკვე პორტირებულია ბრაუზერის ახალ ვერსიებზე. სხვა მომხმარებლებისთვის ჩვენ შევიმუშავეთ პატჩი, რომელიც დააყენებს ახალ სერტიფიკატს. ის გამოვიდა როგორც bugfix გამოცემა (მთარგმნელის შენიშვნა: Firefox 66.0.5), ასე რომ ხალხი მიიღებს მას - სავარაუდოდ უკვე მიიღეს - რეგულარული განახლების არხის მეშვეობით. თუ იყენებთ Firefox ESR-ის მორგებულ კონსტრუქციას, გთხოვთ, დაუკავშირდეთ თქვენს ოფიცერს.

ჩვენ გვესმის, რომ ეს არ არის იდეალური. ზოგიერთ შემთხვევაში, მომხმარებლებმა დაკარგეს დამატებითი მონაცემები (მაგალითად, დანამატის მონაცემები მრავალპროფილიანი კონტეინერები).

ამ გვერდითი ეფექტის თავიდან აცილება ვერ მოხერხდა, მაგრამ ჩვენ გვჯერა, რომ მოკლევადიან პერიოდში ჩვენ ავირჩიეთ საუკეთესო გამოსავალი მომხმარებლების უმეტესობისთვის. გრძელვადიან პერსპექტივაში ჩვენ ვეძებთ სხვა, უფრო მოწინავე არქიტექტურულ მიდგომებს.

გაკვეთილები

პირველ რიგში, ჩვენმა გუნდმა საოცარი სამუშაო შეასრულა პრობლემის აღმოჩენიდან 12 საათზე ნაკლებ დროში, შექმნა და გამოასწორა. როგორც შეხვედრებს ესწრებოდა, შემიძლია ვთქვა, რომ ამ რთულ ვითარებაში ადამიანები ძალიან ბევრს მუშაობდნენ და ძალიან ცოტა დრო დაკარგეს.

ცხადია, ეს საერთოდ არ უნდა მომხდარიყო. აშკარად ღირებულია ჩვენი პროცესების კორექტირება, რათა შემცირდეს ასეთი ინციდენტების ალბათობა და გაადვილდეს გამოსწორება.

მომავალ კვირას ჩვენ გამოვაქვეყნებთ ოფიციალურ მოკვლის შემდგომ და იმ ცვლილებების ჩამონათვალს, რომელთა განხორციელებასაც ვაპირებთ. ჯერ-ჯერობით ჩემს აზრებს გაგიზიარებთ. პირველ რიგში, უნდა არსებობდეს პოტენციური დროის ბომბის სტატუსის მონიტორინგის უკეთესი გზა. დარწმუნებული უნდა ვიყოთ, რომ არ აღმოვჩნდეთ ისეთ სიტუაციაში, როდესაც ერთ-ერთი მათგანი უცებ იმუშაოს. ჩვენ ჯერ კიდევ ვამუშავებთ დეტალებს, მაგრამ მინიმუმ, ყველა ასეთი რამის გათვალისწინებაა საჭირო.

მეორე, ჩვენ გვჭირდება მექანიზმი, რომ სწრაფად მივაწოდოთ განახლებები მომხმარებლებს, მაშინაც კი, როცა, განსაკუთრებით მაშინ, როცა ყველაფერი სხვა ვერ ხერხდება. ძალიან კარგი იყო, რომ ჩვენ შევძელით „კვლევის“ სისტემის გამოყენება, მაგრამ ეს არის არასრულყოფილი ინსტრუმენტი და აქვს არასასურველი გვერდითი მოვლენები. კერძოდ, ჩვენ ვიცით, რომ ბევრ მომხმარებელს აქვს ჩართული ავტომატური განახლებები, მაგრამ ურჩევნია არ მიიღონ მონაწილეობა კვლევაში (ვაღიარებ, მეც გამორთული მაქვს!). ამავდროულად, ჩვენ გვჭირდება მომხმარებლებისთვის განახლებების გაგზავნის გზა, მაგრამ როგორიც არ უნდა იყოს შიდა ტექნიკური განხორციელება, მომხმარებლებს უნდა შეეძლოთ განახლებების გამოწერა (მათ შორის ცხელი შესწორებების ჩათვლით), მაგრამ უარი თქვან ყველაფერზე. გარდა ამისა, განახლების არხი უფრო მგრძნობიარე უნდა იყოს, ვიდრე ახლა. ჯერ კიდევ 6 მაისს იყვნენ მომხმარებლები, რომლებმაც არ ისარგებლეს არც შესწორებით და არც ახალი ვერსიით. ამ პრობლემაზე უკვე დამუშავდა, მაგრამ რაც მოხდა აჩვენა, რამდენად მნიშვნელოვანია.

და ბოლოს, ჩვენ უფრო დეტალურად განვიხილავთ დანამატის უსაფრთხოების არქიტექტურას, რათა დავრწმუნდეთ, რომ ის უზრუნველყოფს უსაფრთხოების სწორ დონეს რაიმეს დარღვევის მინიმალური რისკით.

მომავალ კვირას განვიხილავთ მომხდარის უფრო საფუძვლიანი ანალიზის შედეგებს, მაგრამ ამასობაში სიამოვნებით ვუპასუხებ კითხვებს ელექტრონული ფოსტით: [ელ.ფოსტით დაცულია]

წყარო: linux.org.ru