과거에는 인증서를 수동으로 갱신해야 했기 때문에 인증서가 만료되는 경우가 많았습니다. 사람들은 단지 그 일을 하는 것을 잊어버렸을 뿐입니다. Let's Encrypt의 등장과 자동 업데이트 절차로 인해 이 문제는 해결되어야 할 것으로 보입니다. 하지만 최근 파이어폭스 이야기 실제로 여전히 관련성이 있음을 보여줍니다. 안타깝게도 인증서는 계속 만료됩니다.

이야기를 놓친 경우를 대비해 4년 2019월 XNUMX일 자정에 거의 모든 Firefox 확장 프로그램이 갑자기 작동을 멈췄습니다.

결과적으로 Mozilla로 인해 대규모 실패가 발생했습니다. 인증서가 만료되었습니다, 확장명에 서명하는 데 사용되었습니다. 따라서 “무효”로 표시되어 확인되지 않았습니다(기술적 세부 사항). 포럼에서는 해결 방법으로 다음에서 확장 서명 확인을 비활성화하는 것이 좋습니다. 정보 : 설정 또는 시스템 시계를 변경합니다.

Mozilla는 잘못된 인증서 문제를 해결하고 모든 확장 기능이 정상으로 돌아가는 Firefox 66.0.4 패치를 신속하게 출시했습니다. 개발자는 설치를 권장하고 사용하지 마세요 패치와 충돌할 수 있으므로 서명 확인을 우회하는 해결 방법이 없습니다.

그러나 이 이야기는 인증서 만료가 오늘날에도 여전히 긴급한 문제로 남아 있음을 다시 한 번 보여줍니다.

이와 관련하여, 프로토콜 개발자가 이 작업을 처리한 방식이 다소 독창적인 방식을 살펴보는 것은 흥미롭습니다. DNSCrypt. 그들의 솔루션은 두 부분으로 나눌 수 있습니다. 첫째, 이는 단기 인증서입니다. 둘째, 사용자에게 장기 만료에 대해 경고합니다.

DNSCrypt

DNSCrypt는 DNS 트래픽 암호화 프로토콜입니다. 차단 및 MiTM으로부터 DNS 통신을 보호하고 DNS 쿼리 수준에서 차단을 우회할 수도 있습니다.

이 프로토콜은 UDP 및 TCP 전송 프로토콜을 통해 작동하는 암호화 구조로 클라이언트와 서버 간의 DNS 트래픽을 래핑합니다. 이를 사용하려면 클라이언트와 DNS 확인자 모두 DNSCrypt를 지원해야 합니다. 예를 들어, 2016년 152월부터 DNS 서버와 Yandex 브라우저에서 활성화되었습니다. Google 및 Cloudflare를 포함한 다른 여러 제공업체도 지원을 발표했습니다. 안타깝게도 그 수가 많지 않습니다(공식 웹사이트에는 XNUMX개의 공용 DNS 서버가 나열되어 있습니다). 하지만 프로그램은 dnscrypt-프록시 Linux, Windows 및 MacOS 클라이언트에 수동으로 설치할 수 있습니다. 또한 있다 서버 구현.

DNSCrypt는 어떻게 작동하나요? 즉, 클라이언트는 선택한 공급자의 공개 키를 가져와 이를 사용하여 인증서를 확인합니다. 세션의 단기 공개 키와 암호 모음 식별자가 이미 있습니다. 클라이언트는 각 요청에 대해 새 키를 생성하도록 권장되며 서버는 키를 변경하도록 권장됩니다. 24시간마다. 키를 교환할 때 서명에는 EdDSA, 블록 암호화에는 XSalsa25519-Poly20 또는 XChaCha1305-Poly20에 X1305 알고리즘이 사용됩니다.

프로토콜 개발자 중 한 명인 Frank Denis 기록24시간마다 자동으로 교체되므로 만료된 인증서 문제가 해결되었습니다. 원칙적으로 dnscrypt-proxy 참조 클라이언트는 유효 기간이 있는 인증서를 허용하지만, 24시간 이상 유효한 경우 "이 서버의 dnscrypt-proxy 키 기간이 너무 깁니다"라는 경고를 발행합니다. 동시에 키(및 인증서)의 빠른 변경이 구현된 Docker 이미지가 출시되었습니다.

첫째, 보안에 매우 유용합니다. 서버가 손상되거나 키가 유출되면 어제의 트래픽을 해독할 수 없습니다. 키가 이미 변경되었습니다. 이는 공급자가 암호화된 트래픽을 포함한 모든 트래픽을 저장하도록 강제하는 야로바야법(Yarovaya Law) 시행에 문제를 일으킬 가능성이 높습니다. 이는 필요한 경우 나중에 사이트에서 키를 요청하여 암호를 해독할 수 있다는 의미입니다. 하지만 이 경우 사이트는 단기 키를 사용하고 오래된 키를 삭제하기 때문에 이를 제공할 수 없습니다.

그러나 가장 중요한 것은 단기 키로 인해 서버가 첫날부터 자동화를 설정하도록 한다는 것입니다. 서버가 네트워크에 연결되어 있고 키 변경 스크립트가 구성되지 않았거나 작동하지 않는 경우 이는 즉시 감지됩니다.

자동화가 몇 년마다 키를 변경하면 신뢰할 수 없으며 사람들은 인증서 만료를 잊어버릴 수 있습니다. 매일 키를 변경하면 즉시 감지됩니다.

동시에 자동화가 정상적으로 구성되면 키가 얼마나 자주 변경되는지는 중요하지 않습니다(매년, 분기마다 또는 하루에 세 번). 모든 것이 24시간 이상 작동한다면 영원히 작동할 것이라고 Frank Denis는 썼습니다. 그에 따르면, 프로토콜의 두 번째 버전에서 일일 키 순환 권장 사항과 이를 구현하는 기성 Docker 이미지가 함께 만료된 인증서가 있는 서버 수를 효과적으로 줄이는 동시에 보안을 향상시켰습니다.

그러나 일부 공급자는 여전히 기술적인 이유로 인증서 유효 기간을 24시간 이상으로 설정하기로 결정했습니다. 이 문제는 dnscrypt-proxy의 몇 줄의 코드로 대부분 해결되었습니다. 사용자는 인증서가 만료되기 30일 전에 정보 제공용 경고를 받고, 만료 7일 전에 심각도가 더 높은 또 다른 메시지를 받고, 인증서에 남아 있는 것이 있으면 중요한 메시지를 받게 됩니다. 유효 기간은 24시간 미만입니다. 이는 처음에 유효 기간이 긴 인증서에만 적용됩니다.

이러한 메시지는 사용자에게 너무 늦기 전에 인증서 만료가 임박했음을 DNS 운영자에게 알릴 수 있는 기회를 제공합니다.

아마도 모든 Firefox 사용자가 그러한 메시지를 받았다면 누군가 개발자에게 알리고 인증서가 만료되는 것을 허용하지 않을 것입니다. Frank Denis는 “공용 DNS 서버 목록에서 지난 XNUMX~XNUMX년 동안 인증서가 만료된 DNSCrypt 서버는 단 하나도 기억나지 않습니다.”라고 썼습니다. 어쨌든 경고 없이 확장 프로그램을 비활성화하는 것보다 먼저 사용자에게 경고하는 것이 더 나을 것입니다.

출처 : habr.com