ໃນອະດີດ, ໃບຢັ້ງຢືນມັກຈະຫມົດອາຍຸຍ້ອນວ່າພວກເຂົາຕ້ອງໄດ້ຮັບການຕໍ່ອາຍຸດ້ວຍຕົນເອງ. ປະຊາຊົນພຽງແຕ່ລືມເຮັດມັນ. ດ້ວຍການມາເຖິງຂອງ Let's Encrypt ແລະຂັ້ນຕອນການປັບປຸງອັດຕະໂນມັດ, ມັນເບິ່ງຄືວ່າບັນຫາຄວນໄດ້ຮັບການແກ້ໄຂ. ແຕ່ບໍ່ດົນມານີ້ ເລື່ອງ Firefox ສະແດງໃຫ້ເຫັນວ່າ, ໃນຄວາມເປັນຈິງ, ມັນຍັງມີຄວາມກ່ຽວຂ້ອງ. ແຕ່ຫນ້າເສຍດາຍ, ໃບຢັ້ງຢືນຍັງສືບຕໍ່ຫມົດອາຍຸ.

ໃນກໍລະນີທີ່ທ່ານພາດເລື່ອງ, ໃນເວລາທ່ຽງຄືນຂອງວັນທີ 4 ພຶດສະພາ 2019, ເກືອບທຸກສ່ວນຂະຫຍາຍຂອງ Firefox ໄດ້ຢຸດເຮັດວຽກຢ່າງກະທັນຫັນ.

ດັ່ງທີ່ມັນໄດ້ຫັນອອກ, ຄວາມລົ້ມເຫຼວອັນໃຫຍ່ຫຼວງເກີດຂື້ນຍ້ອນຄວາມຈິງທີ່ວ່າ Mozilla ໃບຮັບຮອງໝົດອາຍຸແລ້ວ, ເຊິ່ງຖືກນໍາໃຊ້ເພື່ອເຊັນນາມສະກຸນ. ດັ່ງນັ້ນ, ພວກມັນຈຶ່ງຖືກໝາຍວ່າ “ບໍ່ຖືກຕ້ອງ” ແລະບໍ່ໄດ້ຮັບການຢັ້ງຢືນ (ລາຍລະອຽດດ້ານວິຊາການ). ໃນເວທີສົນທະນາ, ເປັນການແກ້ໄຂ, ມັນໄດ້ຖືກແນະນໍາໃຫ້ປິດການຢັ້ງຢືນລາຍເຊັນສ່ວນຂະຫຍາຍໃນ about: config ຫຼືປ່ຽນໂມງລະບົບ.

Mozilla ໄດ້ປ່ອຍ Firefox 66.0.4 patch ຢ່າງໄວວາ, ເຊິ່ງແກ້ໄຂບັນຫາດ້ວຍໃບຢັ້ງຢືນທີ່ບໍ່ຖືກຕ້ອງ, ແລະສ່ວນຂະຫຍາຍທັງຫມົດກັບຄືນສູ່ປົກກະຕິ. ນັກພັດທະນາແນະນໍາໃຫ້ຕິດຕັ້ງມັນແລະ ບໍ່ໃຊ້ ບໍ່ມີການແກ້ໄຂເພື່ອຂ້າມຜ່ານການກວດສອບລາຍເຊັນເພາະວ່າພວກມັນອາດຈະຂັດກັບ patch.

ຢ່າງໃດກໍຕາມ, ເລື່ອງນີ້ສະແດງໃຫ້ເຫັນອີກເທື່ອຫນຶ່ງວ່າການຫມົດອາຍຸຂອງໃບຢັ້ງຢືນຍັງຄົງເປັນບັນຫາທີ່ສໍາຄັນໃນມື້ນີ້.

ໃນເລື່ອງນີ້, ມັນຫນ້າສົນໃຈທີ່ຈະເບິ່ງວິທີການຕົ້ນສະບັບທີ່ນັກພັດທະນາໂປໂຕຄອນຈັດການກັບວຽກງານນີ້ແນວໃດ DNSCrypt. ການແກ້ໄຂຂອງພວກເຂົາສາມາດແບ່ງອອກເປັນສອງສ່ວນ. ກ່ອນອື່ນ ໝົດ, ເຫຼົ່ານີ້ແມ່ນໃບຢັ້ງຢືນໄລຍະສັ້ນ. ອັນທີສອງ, ເຕືອນຜູ້ໃຊ້ກ່ຽວກັບການຫມົດອາຍຸຂອງໄລຍະຍາວ.

DNSCrypt

DNSCrypt ແມ່ນໂປຣໂຕຄໍການເຂົ້າລະຫັດການຈາລະຈອນ DNS. ມັນປົກປ້ອງການສື່ສານ DNS ຈາກການຂັດຂວາງແລະ MiTM, ແລະຍັງຊ່ວຍໃຫ້ທ່ານສາມາດຫລີກລ່ຽງການຂັດຂວາງໃນລະດັບການສອບຖາມ DNS.

ໂປຣໂຕຄໍປິດການຈາລະຈອນ DNS ລະຫວ່າງລູກຄ້າ ແລະເຊີບເວີໃນໂຄງສ້າງການເຂົ້າລະຫັດລັບ, ດໍາເນີນການຜ່ານໂປຣໂຕຄໍການຂົນສົ່ງ UDP ແລະ TCP. ເພື່ອໃຊ້ມັນ, ທັງລູກຄ້າແລະຕົວແກ້ໄຂ DNS ຕ້ອງສະຫນັບສະຫນູນ DNSCrypt. ຕົວຢ່າງ, ນັບຕັ້ງແຕ່ເດືອນມີນາ 2016, ມັນໄດ້ຖືກເປີດໃຊ້ໃນເຄື່ອງແມ່ຂ່າຍ DNS ແລະໃນຕົວທ່ອງເວັບ Yandex. ຜູ້ໃຫ້ບໍລິການອື່ນໆຈໍານວນຫຼາຍໄດ້ປະກາດການສະຫນັບສະຫນູນ, ລວມທັງ Google ແລະ Cloudflare. ແຕ່ຫນ້າເສຍດາຍ, ບໍ່ມີຈໍານວນຫຼາຍຂອງພວກເຂົາ (152 ເຄື່ອງແມ່ຂ່າຍ DNS ສາທາລະນະຖືກລະບຸໄວ້ໃນເວັບໄຊທ໌ທາງການ). ແຕ່ໂຄງການ dnscrypt-proxy ສາມາດຕິດຕັ້ງດ້ວຍຕົນເອງໃນລູກຄ້າ Linux, Windows ແລະ MacOS. ຍັງມີ ການປະຕິບັດເຄື່ອງແມ່ຂ່າຍ.

DNSCrypt ເຮັດວຽກແນວໃດ? ໃນສັ້ນ, ລູກຄ້າເອົາລະຫັດສາທາລະນະຂອງຜູ້ໃຫ້ບໍລິການທີ່ເລືອກແລະໃຊ້ມັນເພື່ອກວດສອບໃບຢັ້ງຢືນຂອງມັນ. ກະແຈສາທາລະນະໄລຍະສັ້ນສຳລັບເຊດຊັນ ແລະຕົວລະບຸລະຫັດລັບແມ່ນມີຢູ່ແລ້ວ. ລູກຄ້າໄດ້ຮັບການຊຸກຍູ້ໃຫ້ສ້າງລະຫັດໃຫມ່ສໍາລັບແຕ່ລະຄໍາຮ້ອງຂໍ, ແລະເຄື່ອງແມ່ຂ່າຍໄດ້ຖືກຊຸກຍູ້ໃຫ້ປ່ຽນລະຫັດ ທຸກໆ 24 ຊົ່ວໂມງ. ເມື່ອແລກປ່ຽນກະແຈ, X25519 algorithm ຖືກນໍາໃຊ້, ສໍາລັບການເຊັນຊື່ - EdDSA, ສໍາລັບການເຂົ້າລະຫັດບລັອກ - XSalsa20-Poly1305 ຫຼື XChaCha20-Poly1305.

ຫນຶ່ງໃນຜູ້ພັດທະນາໂປໂຕຄອນ Frank Denis ພຣະອົງໄດ້ຂຽນການທົດແທນອັດຕະໂນມັດທຸກໆ 24 ຊົ່ວໂມງແກ້ໄຂບັນຫາຂອງໃບຢັ້ງຢືນຫມົດອາຍຸ. ໃນຫຼັກການ, ລູກຄ້າອ້າງອິງ dnscrypt-proxy ຍອມຮັບໃບຢັ້ງຢືນທີ່ມີໄລຍະເວລາທີ່ຖືກຕ້ອງ, ແຕ່ອອກຄໍາເຕືອນ "ໄລຍະເວລາລະຫັດ dnscrypt-proxy ສໍາລັບເຄື່ອງແມ່ຂ່າຍນີ້ຍາວເກີນໄປ" ຖ້າມັນໃຊ້ໄດ້ຫຼາຍກວ່າ 24 ຊົ່ວໂມງ. ໃນເວລາດຽວກັນ, ຮູບພາບ Docker ໄດ້ຖືກປ່ອຍອອກມາ, ເຊິ່ງການປ່ຽນແປງໄວຂອງກະແຈ (ແລະໃບຢັ້ງຢືນ) ໄດ້ຖືກປະຕິບັດ.

ທໍາອິດ, ມັນເປັນປະໂຫຍດທີ່ສຸດສໍາລັບຄວາມປອດໄພ: ຖ້າເຄື່ອງແມ່ຂ່າຍຖືກທໍາລາຍຫຼືລະຫັດຖືກຮົ່ວໄຫຼ, ການຈະລາຈອນຂອງມື້ວານນີ້ບໍ່ສາມາດຖືກຖອດລະຫັດໄດ້. ລະຫັດມີການປ່ຽນແປງແລ້ວ. ນີ້ອາດຈະເປັນບັນຫາສໍາລັບການປະຕິບັດກົດຫມາຍ Yarovaya, ເຊິ່ງບັງຄັບໃຫ້ຜູ້ໃຫ້ບໍລິການເກັບຮັກສາການຈະລາຈອນທັງຫມົດ, ລວມທັງການຈະລາຈອນທີ່ຖືກເຂົ້າລະຫັດ. ຄວາມຫມາຍແມ່ນວ່າມັນສາມາດຖືກຖອດລະຫັດຕໍ່ມາຖ້າຈໍາເປັນໂດຍການຮ້ອງຂໍລະຫັດຈາກເວັບໄຊທ໌. ແຕ່ໃນກໍລະນີນີ້, ເວັບໄຊທ໌ພຽງແຕ່ບໍ່ສາມາດສະຫນອງມັນໄດ້, ເພາະວ່າມັນໃຊ້ລະຫັດໄລຍະສັ້ນ, ການລຶບອັນເກົ່າ.

ແຕ່ສໍາຄັນທີ່ສຸດ, Denis ຂຽນ, ລະຫັດໄລຍະສັ້ນບັງຄັບໃຫ້ເຄື່ອງແມ່ຂ່າຍຕັ້ງອັດຕະໂນມັດຈາກມື້ຫນຶ່ງ. ຖ້າເຊີບເວີເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍແລະສະຄິບການປ່ຽນແປງທີ່ສໍາຄັນບໍ່ໄດ້ຖືກຕັ້ງຄ່າຫຼືບໍ່ເຮັດວຽກ, ນີ້ຈະຖືກກວດພົບທັນທີ.

ເມື່ອລະບົບອັດຕະໂນມັດປ່ຽນລະຫັດທຸກໆສອງສາມປີ, ມັນບໍ່ສາມາດອີງໃສ່ໄດ້, ແລະປະຊາຊົນສາມາດລືມກ່ຽວກັບການຫມົດອາຍຸຂອງໃບຢັ້ງຢືນ. ຖ້າທ່ານປ່ຽນກະແຈປະຈໍາວັນ, ນີ້ຈະຖືກກວດພົບທັນທີ.

ໃນເວລາດຽວກັນ, ຖ້າອັດຕະໂນມັດຖືກຕັ້ງຄ່າຕາມປົກກະຕິ, ມັນບໍ່ສໍາຄັນວ່າກະແຈມີການປ່ຽນແປງເລື້ອຍໆ: ທຸກໆປີ, ທຸກໆໄຕມາດຫຼືສາມເທື່ອຕໍ່ມື້. ຖ້າທຸກສິ່ງທຸກຢ່າງເຮັດວຽກຫຼາຍກວ່າ 24 ຊົ່ວໂມງ, ມັນຈະເຮັດວຽກຕະຫຼອດໄປ, ຂຽນ Frank Denis. ອີງຕາມພຣະອົງ, ຄໍາແນະນໍາຂອງການຫມຸນທີ່ສໍາຄັນປະຈໍາວັນໃນສະບັບທີສອງຂອງໂປໂຕຄອນ, ພ້ອມກັບຮູບພາບ Docker ທີ່ກຽມພ້ອມທີ່ຈະປະຕິບັດມັນ, ປະສິດທິຜົນຫຼຸດລົງຈໍານວນເຄື່ອງແມ່ຂ່າຍທີ່ມີໃບຢັ້ງຢືນຫມົດອາຍຸ, ໃນຂະນະທີ່ປັບປຸງຄວາມປອດໄພ.

ຢ່າງໃດກໍ່ຕາມ, ຜູ້ໃຫ້ບໍລິການບາງຄົນຍັງຄົງຕັດສິນໃຈ, ສໍາລັບເຫດຜົນດ້ານວິຊາການບາງຢ່າງ, ເພື່ອກໍານົດໄລຍະເວລາຂອງໃບຢັ້ງຢືນໃຫ້ເກີນ 24 ຊົ່ວໂມງ. ບັນຫານີ້ຖືກແກ້ໄຂສ່ວນໃຫຍ່ດ້ວຍລະຫັດສອງສາມແຖວໃນ dnscrypt-proxy: ຜູ້ໃຊ້ໄດ້ຮັບການເຕືອນຂໍ້ມູນ 30 ມື້ກ່ອນທີ່ໃບຢັ້ງຢືນຈະຫມົດອາຍຸ, ຂໍ້ຄວາມອື່ນທີ່ມີລະດັບຄວາມຮຸນແຮງສູງກວ່າ 7 ມື້ກ່ອນຫມົດອາຍຸ, ແລະຂໍ້ຄວາມທີ່ສໍາຄັນຖ້າໃບຢັ້ງຢືນຍັງເຫຼືອ. ໃຊ້ໄດ້ໜ້ອຍກວ່າ 24 ຊົ່ວໂມງ. ອັນນີ້ໃຊ້ໄດ້ກັບໃບຮັບຮອງທີ່ໃນເບື້ອງຕົ້ນມີໄລຍະເວລານຳໃຊ້ຍາວເທົ່ານັ້ນ.

ຂໍ້ຄວາມເຫຼົ່ານີ້ໃຫ້ໂອກາດແກ່ຜູ້ໃຊ້ທີ່ຈະແຈ້ງໃຫ້ຜູ້ປະຕິບັດການ DNS ກ່ຽວກັບການຫມົດອາຍຸຂອງໃບຢັ້ງຢືນທີ່ກໍາລັງຈະມາເຖິງກ່ອນທີ່ມັນຈະສາຍເກີນໄປ.

ບາງທີຖ້າຜູ້ໃຊ້ Firefox ທັງຫມົດໄດ້ຮັບຂໍ້ຄວາມດັ່ງກ່າວ, ບາງຄົນອາດຈະແຈ້ງໃຫ້ຜູ້ພັດທະນາແລະພວກເຂົາບໍ່ອະນຸຍາດໃຫ້ໃບຢັ້ງຢືນຫມົດອາຍຸ. "ຂ້ອຍບໍ່ຈື່ເຄື່ອງແມ່ຂ່າຍ DNSCrypt ດຽວໃນບັນຊີລາຍຊື່ຂອງເຄື່ອງແມ່ຂ່າຍ DNS ສາທາລະນະທີ່ມີໃບຢັ້ງຢືນຂອງມັນຫມົດອາຍຸໃນສອງຫຼືສາມປີທີ່ຜ່ານມາ," Frank Denis ຂຽນ. ໃນກໍລະນີໃດກໍ່ຕາມ, ມັນອາດຈະດີກວ່າທີ່ຈະເຕືອນຜູ້ໃຊ້ກ່ອນແທນທີ່ຈະປິດການໃຊ້ງານສ່ວນຂະຫຍາຍໂດຍບໍ່ມີການເຕືອນ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com