중형 주간 다이제스트 #5(9년 16월 2019~XNUMX일)

우리는 "국가 안보"라는 말을 항상 듣습니다. 그러나 정부가 신뢰할 만한 의심이나 법적 근거, 뚜렷한 목적 없이 우리의 통신을 감시하고 녹음하기 시작하면 우리는 스스로에게 질문을 던져야 합니다. 그들이 정말로 국가 안보를 보호하는 것인지, 아니면 그들은 자기 자신을 보호하고 있나요?

- 에드워드 스노우덴

이 다이제스트는 개인 정보 보호 문제에 대한 커뮤니티의 관심을 높이기 위한 것입니다. 최신 이벤트 그 어느 때보다 관련성이 높아졌습니다.

의제:

       분산형 인터넷 제공업체인 “Medium” 커뮤니티의 열성팬들이 자신만의 검색 엔진을 만들고 있습니다.
       Medium은 새로운 인증 기관인 Medium Global Root CA를 설립했습니다. 변경 사항으로 인해 누가 영향을 받나요?
       모든 가정의 보안 인증서 - Yggdrasil 네트워크에서 자신만의 서비스를 생성하고 유효한 SSL 인증서를 발급하는 방법

알림 - '중간'이란 무엇인가요?

중급 (영어 중급 - “중개자”, 원래 슬로건 - 귀하의 개인 정보를 요구하지 마십시오. 다시 가져; 영어로도 그 단어를 매질 "중간"을 의미) - 네트워크 액세스 서비스를 제공하는 러시아 분산형 인터넷 제공업체 이그드라실 무료로.

전체 이름: 중형 인터넷 서비스 제공업체. 처음에 프로젝트는 다음과 같이 구상되었습니다. 메시 네트워크 в 콜롬나 도시 지구.

Wi-Fi 무선 데이터 전송 기술을 사용하여 최종 사용자에게 Yggdrasil 네트워크 리소스에 대한 액세스를 제공함으로써 독립적인 통신 환경 구축의 일환으로 2019년 XNUMX월에 설립되었습니다.

주제에 대한 추가 정보: “분산형 인터넷 제공업체인 Medium에 대해 알고 싶었지만 물어보기가 두려웠던 모든 것”

분산형 인터넷 제공업체인 “Medium” 커뮤니티의 열성팬들이 자신만의 검색 엔진을 만들고 있습니다.

원래 온라인 이그드라실분산형 인터넷 서비스 제공업체인 Medium이 전송 수단으로 사용하는 에는 자체 DNS 서버나 공개 키 인프라가 없었습니다. 그러나 Medium 네트워크 서비스에 대한 보안 인증서를 발급해야 하는 필요성이 이 두 가지 문제를 해결했습니다.

기본적으로 Yggdrasil이 피어 간 트래픽을 암호화하는 기능을 제공하는 경우 PKI가 필요한 이유는 무엇입니까?로컬로 실행되는 Yggdrasil 네트워크 라우터를 통해 연결하는 경우 Yggdrasil 네트워크의 웹 서비스에 연결하기 위해 HTTPS를 사용할 필요가 없습니다.

실제로: Yggdrasil 운송은 동등합니다. 규약 Yggdrasil 네트워크 내의 리소스를 안전하게 사용할 수 있습니다. MITM 공격 완전히 제외됩니다.

Yggdarsil의 인트라넷 리소스에 직접 액세스하지 않고 운영자가 관리하는 중간 네트워크 액세스 포인트인 중간 노드를 통해 액세스하면 상황은 급격하게 변합니다.

이 경우 귀하가 전송하는 데이터를 손상시킬 수 있는 사람은 누구입니까?

1. 액세스 포인트 운영자. 현재 중형 네트워크 액세스 포인트의 운영자가 해당 장비를 통과하는 암호화되지 않은 트래픽을 도청할 수 있다는 것은 명백합니다.
2. 침입자 (중간에있는 남성). 매체에는 다음과 유사한 문제가 있습니다. Tor 네트워크 문제, 입력 및 중간 노드와 관련된 경우에만 해당됩니다.

이것이 바로 그 모습이다

결정: Yggdrasil 네트워크 내의 웹 서비스에 액세스하려면 HTTPS 프로토콜(레벨 7)을 사용하십시오. OSI 모델). 문제는 위그드라실 네트워크 서비스에 대한 정품 보안 인증서를 기존의 수단으로는 발급이 불가능하다는 점입니다. 암호화하자..

그래서 우리는 자체 인증센터를 설립했습니다. "중간 글로벌 루트 CA". 대부분의 중형 네트워크 서비스는 중개 인증 기관인 “중형 도메인 검증 보안 서버 CA”의 루트 보안 인증서로 서명됩니다.

물론 인증 기관의 루트 인증서가 손상될 가능성도 고려되었지만 여기서는 데이터 전송의 무결성을 확인하고 MITM 공격 가능성을 제거하기 위해 인증서가 더 필요합니다.

다양한 운영업체의 중형 네트워크 서비스에는 루트 인증 기관에서 서명한 다양한 보안 인증서가 있습니다. 그러나 루트 CA 운영자는 보안 인증서에 서명한 서비스의 암호화된 트래픽을 도청할 수 없습니다(참조: “CSR이란 무엇입니까?”).

특히 안전에 대해 우려하는 사람들은 다음과 같은 추가 보호 수단을 사용할 수 있습니다. PGP и 비슷한.

현재 Medium 네트워크의 공개 키 인프라에는 프로토콜을 사용하여 인증서 상태를 확인할 수 있는 기능이 있습니다. OCSP 또는 사용을 통해 C.R.L..

핵심을 짚다

사용자 @NX쇼크 Yggdrasil 네트워크에 위치한 웹 서비스용 검색 엔진 개발을 시작했습니다. 중요한 측면은 검색 수행 시 서비스의 IPv6 주소 결정이 중형 네트워크 내부에 있는 DNS 서버에 요청을 전송하여 수행된다는 사실입니다.

주요 TLD는 .ygg. 대부분의 도메인 이름에는 다음 두 가지 예외를 제외하고 이 TLD가 있습니다. .isp и .gg.

검색 엔진은 개발 중이지만 현재 이미 사용이 가능합니다. 웹사이트를 방문하세요. 검색.매체.isp.

프로젝트 발전에 도움을 줄 수 있으며, GitHub에서 개발에 참여하여.

Medium은 새로운 인증 기관인 Medium Global Root CA를 설립했습니다. 변경 사항으로 인해 누가 영향을 받나요?

어제 Medium Root CA 인증 센터 기능에 대한 공개 테스트가 완료되었습니다. 테스트를 마친 결과, 공개키 인프라 서비스 운영 오류를 수정하고, 인증기관 'Medium Global Root CA'의 새로운 루트 인증서가 생성됐다.

PKI의 모든 뉘앙스와 기능이 고려되었습니다. 이제 새로운 CA 인증서 "Medium Global Root CA"는 만료일로부터 10년 후에만 발급됩니다. 이제 보안 인증서는 중간 인증 기관(예: "중간 도메인 유효성 검사 보안 서버 CA")에서만 발급됩니다.

이제 인증서 신뢰 체인은 어떤 모습인가요?



사용자인 경우 모든 기능이 작동하려면 무엇을 해야 합니까?

일부 서비스에서는 HSTS를 사용하므로 Medium 네트워크 리소스를 사용하기 전에 Medium 인트라넷 리소스에서 데이터를 삭제해야 합니다. 브라우저의 기록 탭에서 이 작업을 수행할 수 있습니다.

또한 필요하다 새 인증서 설치 인증 센터 "Medium Global Root CA".

당신이 시스템 운영자라면 모든 것이 제대로 작동하도록 하기 위해 무엇을 해야 할까요?

해당 페이지에서 서비스에 대한 인증서를 재발급해야 합니다. pki.medium.isp (본 서비스는 Medium 네트워크에서만 이용 가능합니다.)

모든 가정의 보안 인증서 - Yggdrasil 네트워크에서 자신만의 서비스를 생성하고 유효한 SSL 인증서를 발급하는 방법

중형 네트워크의 인트라넷 서비스 수가 증가함에 따라 새로운 보안 인증서를 발급하고 SSL을 지원하도록 서비스를 구성해야 할 필요성이 증가했습니다.

Habr은 기술 리소스이므로 각각의 새로운 다이제스트에서 의제 항목 중 하나가 Medium 네트워크 인프라의 기술 기능을 공개합니다. 예를 들어, 다음은 서비스에 대한 SSL 인증서 발급에 대한 포괄적인 지침입니다.

예는 도메인 이름을 나타냅니다 domain.ygg를 서비스의 도메인 이름으로 바꿔야 합니다.

1 단계. 개인 키 및 Diffie-Hellman 매개변수 생성

openssl genrsa -out domain.ygg.key 2048

그런 다음

openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

2 단계. 인증서 서명 요청 만들기

openssl req -new -key domain.ygg.key -out domain.ygg.csr -config domain.ygg.conf

파일 내용 domain.ygg.conf:

[ req ]
default_bits                = 2048
distinguished_name          = req_distinguished_name
x509_extensions             = v3_req

[ req_distinguished_name ]
countryName                 = Country Name (2 letter code)
countryName_default         = RU
stateOrProvinceName         = State or Province Name (full name)
stateOrProvinceName_default = Moscow Oblast
localityName                = Locality Name (eg, city)
localityName_default        = Kolomna
organizationName            = Organization Name (eg, company)
organizationName_default    = ACME, Inc.
commonName                  = Common Name (eg, YOUR name)
commonName_max              = 64
commonName_default          = *.domain.ygg

[ v3_req ]
subjectKeyIdentifier        = hash
keyUsage                    = critical, digitalSignature, keyEncipherment
extendedKeyUsage            = serverAuth
basicConstraints            = CA:FALSE
nsCertType                  = server
authorityKeyIdentifier      = keyid,issuer:always
crlDistributionPoints       = URI:http://crl.medium.isp/Medium_Global_Root_CA.crl
authorityInfoAccess         = OCSP;URI:http://ocsp.medium.isp

3 단계. 인증서 요청 제출

이렇게 하려면 파일 내용을 복사하세요. domain.ygg.csr 사이트의 텍스트 필드에 붙여넣으세요. pki.medium.isp.

웹사이트에 제공된 지침을 따른 후 "제출"을 클릭하세요. 성공하면 중간 인증 기관에서 서명한 인증서 형식의 첨부 파일이 포함된 메시지가 지정한 이메일 주소로 전송됩니다.

4 단계. 웹 서버 설정

nginx를 웹 서버로 사용하는 경우 다음 구성을 사용하십시오.

파일 domain.ygg.conf 디렉토리에서 /etc/nginx/사이트-사용 가능/

server {
    listen [::]:80;
    listen [::]:443 ssl;

    root /var/www/domain.ygg;
    index index.php index.html index.htm index.nginx-debian.html;

    server_name domain.ygg;

    include snippets/domain.ygg.conf;
    include snippets/ssl-params.conf;

    location = /favicon.ico { log_not_found off; access_log off; }
    location = /robots.txt { log_not_found off; access_log off; allow all; }
    location ~* .(css|gif|ico|jpeg|jpg|js|png)$ {
        expires max;
        log_not_found off;
    }

    location / {
        try_files $uri $uri/ /index.php$is_args$args;
    }

    location ~ .php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php7.0-fpm.sock;
    }

    location ~ /.ht {
        deny all;
    }
}

파일 SSL-params.conf 디렉토리에서 /etc/nginx/스니펫/

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH";
ssl_ecdh_curve secp384r1;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;

add_header Strict-Transport-Security "max-age=15552000; preload";
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;

ssl_dhparam /etc/ssl/certs/dhparam.pem;

파일 domain.ygg.conf 디렉토리에서 /etc/nginx/스니펫/

ssl_certificate /etc/ssl/certs/domain.ygg.crt;
ssl_certificate_key /etc/ssl/private/domain.ygg.key;

이메일로 받은 인증서는 다음 위치에 복사되어야 합니다. /etc/ssl/certs/domain.ygg.crt. 개인 키(domain.ygg.key) 디렉토리에 넣습니다. /etc/ssl/개인/.

5 단계. 웹 서버를 다시 시작하세요

sudo service nginx restart

러시아의 무료 인터넷은 당신으로부터 시작됩니다

오늘날 러시아에서 무료 인터넷을 구축하는 데 가능한 모든 지원을 제공할 수 있습니다. 우리는 귀하가 네트워크를 도울 수 있는 정확한 방법에 대한 포괄적인 목록을 작성했습니다.

• 친구와 동료에게 Medium 네트워크에 대해 알려주세요. 공유하다 참고로 소셜 네트워크나 개인 블로그에서 이 기사를 확인하세요.
• Medium 네트워크의 기술적 문제에 대한 토론에 참여하십시오. GitHub에서
• Yggdrasil 네트워크에서 웹 서비스를 생성하고 여기에 추가하세요. 중형 네트워크의 DNS
• 당신의 액세스 포인트 중형 네트워크로

이전 릴리스:

   중형 주간 다이제스트 #1(12년 19월 2019일~XNUMX일)
   중형 주간 다이제스트 #2(19년 26월 2019일~XNUMX일)
   미디엄 주간 다이제스트 #3(26년 2월 2019일~XNUMX월 XNUMX일)
   중형 주간 다이제스트 #4(2년 9월 2019~XNUMX일)

참조 :

분산형 인터넷 제공업체인 Medium에 대해 알고 싶었지만 물어보기가 두려웠던 모든 것
여보, 우리가 인터넷을 죽이고 있어요
분산형 인터넷 제공업체 "Medium" - XNUMX개월 후

우리는 텔레그램에 있습니다: @medium_isp

등록된 사용자만 설문 조사에 참여할 수 있습니다. 로그인제발

대체 투표: Habré에 대한 전체 계정이 없는 사람들의 의견을 아는 것이 중요합니다.

• ↑

• ↓

7명의 사용자가 투표했습니다. 2명의 사용자가 기권했습니다.

출처 : habr.com