ESNI ഉപയോഗിച്ച് നിങ്ങളുടെ പൊതു വെബ്സൈറ്റ് എങ്ങനെ സംരക്ഷിക്കാം

ഹലോ ഹബർ, എൻ്റെ പേര് ഇല്യ, ഞാൻ എക്‌സ്‌നെസിലെ പ്ലാറ്റ്‌ഫോം ടീമിൽ ജോലി ചെയ്യുന്നു. ഞങ്ങളുടെ ഉൽപ്പന്ന വികസന ടീമുകൾ ഉപയോഗിക്കുന്ന പ്രധാന ഇൻഫ്രാസ്ട്രക്ചർ ഘടകങ്ങൾ ഞങ്ങൾ വികസിപ്പിക്കുകയും നടപ്പിലാക്കുകയും ചെയ്യുന്നു.

ഈ ലേഖനത്തിൽ, പൊതു വെബ്‌സൈറ്റുകളുടെ ഇൻഫ്രാസ്ട്രക്ചറിൽ എൻക്രിപ്റ്റഡ് എസ്എൻഐ (ഇഎസ്എൻഐ) സാങ്കേതികവിദ്യ നടപ്പിലാക്കുന്നതിൻ്റെ അനുഭവം പങ്കിടാൻ ഞാൻ ആഗ്രഹിക്കുന്നു.

ഈ സാങ്കേതികവിദ്യയുടെ ഉപയോഗം ഒരു പൊതു വെബ്‌സൈറ്റിൽ പ്രവർത്തിക്കുമ്പോൾ സുരക്ഷയുടെ നിലവാരം വർദ്ധിപ്പിക്കുകയും കമ്പനി സ്വീകരിക്കുന്ന ആന്തരിക സുരക്ഷാ മാനദണ്ഡങ്ങൾ പാലിക്കുകയും ചെയ്യും.

ഒന്നാമതായി, സാങ്കേതികവിദ്യ സ്റ്റാൻഡേർഡ് ചെയ്തിട്ടില്ലെന്നും അത് ഇപ്പോഴും ഡ്രാഫ്റ്റിലാണെന്നും ഞാൻ ചൂണ്ടിക്കാണിക്കാൻ ആഗ്രഹിക്കുന്നു, എന്നാൽ ക്ലൗഡ്ഫ്ലെയറും മോസില്ലയും ഇതിനകം അതിനെ പിന്തുണയ്ക്കുന്നു (ഇൻ ഡ്രാഫ്റ്റ്01). ഇതാണ് ഇത്തരമൊരു പരീക്ഷണത്തിന് ഞങ്ങളെ പ്രേരിപ്പിച്ചത്.

ഒരു സിദ്ധാന്തം

ESNI TLS ഹാൻഡ്‌ഷേക്ക് "ക്ലയൻ്റ് ഹലോ" സന്ദേശത്തിൽ SNI എൻക്രിപ്ഷൻ അനുവദിക്കുന്ന TLS 1.3 പ്രോട്ടോക്കോളിലേക്കുള്ള ഒരു വിപുലീകരണമാണ്. ESNI പിന്തുണയോടെ ക്ലയൻ്റ് ഹലോ എങ്ങനെ കാണപ്പെടുന്നുവെന്നത് ഇതാ (സാധാരണ SNI-ക്ക് പകരം ESNI ആണ് നമ്മൾ കാണുന്നത്):

 ESNI ഉപയോഗിക്കുന്നതിന്, നിങ്ങൾക്ക് മൂന്ന് ഘടകങ്ങൾ ആവശ്യമാണ്:

• ഡിഎൻഎസ്; 
• ഉപഭോക്തൃ പിന്തുണ;
• സെർവർ സൈഡ് പിന്തുണ.

ഡിഎൻഎസ്

നിങ്ങൾ രണ്ട് DNS റെക്കോർഡുകൾ ചേർക്കേണ്ടതുണ്ട് - Aഒപ്പം ടെക്സ്റ്റ് (TXT റെക്കോർഡിൽ ക്ലയൻ്റിന് SNI എൻക്രിപ്റ്റ് ചെയ്യാൻ കഴിയുന്ന പൊതു കീ അടങ്ങിയിരിക്കുന്നു) - താഴെ കാണുക. കൂടാതെ, പിന്തുണ ഉണ്ടായിരിക്കണം DoH (എച്ച്ടിടിപിഎസിലൂടെയുള്ള ഡിഎൻഎസ്) കാരണം ലഭ്യമായ ക്ലയൻ്റുകൾ (ചുവടെ കാണുക) DoH ഇല്ലാതെ ESNI പിന്തുണ പ്രവർത്തനക്ഷമമാക്കുന്നില്ല. ഇത് യുക്തിസഹമാണ്, കാരണം നമ്മൾ ആക്‌സസ് ചെയ്യുന്ന റിസോഴ്സിൻ്റെ പേരിൻ്റെ എൻക്രിപ്ഷനെ ESNI സൂചിപ്പിക്കുന്നു, അതായത്, UDP വഴി DNS ആക്സസ് ചെയ്യുന്നതിൽ അർത്ഥമില്ല. മാത്രമല്ല, ഉപയോഗം ഡിഎൻഎസ്എസ്ഇസി ഈ സാഹചര്യത്തിൽ കാഷെ വിഷബാധ ആക്രമണങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

ഇപ്പോൾ ലഭ്യമാണ് നിരവധി DoH ദാതാക്കൾ, അവർക്കിടയിൽ:

• ച്ലൊഉദ്ഫ്ലരെ
• OpenDNS
• ഗൂഗിൾ

ച്ലൊഉദ്ഫ്ലരെ പ്രഖ്യാപിക്കുന്നു (എൻ്റെ ബ്രൗസർ പരിശോധിക്കുക → എൻക്രിപ്റ്റഡ് SNI → കൂടുതലറിയുക) അവരുടെ സെർവറുകൾ ഇതിനകം ESNI-യെ പിന്തുണയ്ക്കുന്നു, അതായത്, DNS-ലെ CloudFlare സെർവറുകൾക്കായി ഞങ്ങൾക്ക് കുറഞ്ഞത് രണ്ട് റെക്കോർഡുകളെങ്കിലും ഉണ്ട് - A, TXT. ചുവടെയുള്ള ഉദാഹരണത്തിൽ ഞങ്ങൾ Google DNS (HTTPS വഴി) അന്വേഷിക്കുന്നു: 

А പ്രവേശനം:

curl 'https://dns.google.com/resolve?name=www.cloudflare.com&type=A' 
-s -H 'accept: application/dns+json'
{
  "Status": 0,
  "TC": false,
  "RD": true,
  "RA": true,
  "AD": true,
  "CD": false,
  "Question": [
    {
      "name": "www.cloudflare.com.",
      "type": 1
    }
  ],
  "Answer": [
    {
      "name": "www.cloudflare.com.",
      "type": 1,
      "TTL": 257,
      "data": "104.17.210.9"
    },
    {
      "name": "www.cloudflare.com.",
      "type": 1,
      "TTL": 257,
      "data": "104.17.209.9"
    }
  ]
}

ടെക്സ്റ്റ് റെക്കോർഡ്, ഒരു ടെംപ്ലേറ്റ് അനുസരിച്ച് അഭ്യർത്ഥന സൃഷ്ടിക്കുന്നു _esni.FQDN:

curl 'https://dns.google.com/resolve?name=_esni.www.cloudflare.com&type=TXT' 
-s -H 'accept: application/dns+json'
{
  "Status": 0,
  "TC": false,
  "RD": true,
  "RA": true,
  "AD": true,
  "CD": false,
  "Question": [
    {
    "name": "_esni.www.cloudflare.com.",
    "type": 16
    }
  ],
  "Answer": [
    {
    "name": "_esni.www.cloudflare.com.",
    "type": 16,
    "TTL": 1799,
    "data": ""/wEUgUKlACQAHQAg9SiAYQ9aUseUZr47HYHvF5jkt3aZ5802eAMJPhRz1QgAAhMBAQQAAAAAXtUmAAAAAABe3Q8AAAA=""
    }
  ],
  "Comment": "Response from 2400:cb00:2049:1::a29f:209."
}

അതിനാൽ, ഒരു DNS വീക്ഷണകോണിൽ, ഞങ്ങൾ DoH ഉപയോഗിക്കണം (വെയിലത്ത് DNSSEC-നൊപ്പം) കൂടാതെ രണ്ട് എൻട്രികൾ ചേർക്കുക. 

ഉപഭോക്തൃ പിന്തുണ

നമ്മൾ ബ്രൗസറുകളെക്കുറിച്ച് സംസാരിക്കുകയാണെങ്കിൽ, ഇപ്പോൾ ഫയർഫോക്സിൽ മാത്രമാണ് പിന്തുണ നടപ്പിലാക്കുന്നത്. ഇത് ഫയർഫോക്സിൽ ESNI, DoH പിന്തുണ എങ്ങനെ സജീവമാക്കാം എന്നതിനെക്കുറിച്ചുള്ള നിർദ്ദേശങ്ങൾ ഇവിടെയുണ്ട്. ബ്രൗസർ കോൺഫിഗർ ചെയ്‌ത ശേഷം, നമ്മൾ ഇതുപോലുള്ള ഒന്ന് കാണും:

ലിങ്ക് ബ്രൗസർ പരിശോധിക്കാൻ.

തീർച്ചയായും, ESNI-യെ പിന്തുണയ്ക്കാൻ TLS 1.3 ഉപയോഗിക്കണം, കാരണം ESNI എന്നത് TLS 1.3-ലേക്കുള്ള ഒരു വിപുലീകരണമാണ്.

ESNI പിന്തുണയോടെ ബാക്കെൻഡ് പരിശോധിക്കുന്നതിനായി, ഞങ്ങൾ ക്ലയൻ്റ് നടപ്പിലാക്കി go, എന്നാൽ അതിനെക്കുറിച്ച് കൂടുതൽ പിന്നീട്.

സെർവർ സൈഡ് പിന്തുണ

നിലവിൽ, nginx/apache മുതലായ വെബ് സെർവറുകൾ ESNI-യെ പിന്തുണയ്ക്കുന്നില്ല, കാരണം അവർ ESNI-യെ ഔദ്യോഗികമായി പിന്തുണയ്ക്കാത്ത OpenSSL/BoringSSL വഴി TLS-ൽ പ്രവർത്തിക്കുന്നു.

അതിനാൽ, ഞങ്ങളുടെ സ്വന്തം ഫ്രണ്ട്-എൻഡ് ഘടകം (ESNI റിവേഴ്സ് പ്രോക്സി) സൃഷ്ടിക്കാൻ ഞങ്ങൾ തീരുമാനിച്ചു, അത് ESNI ഉപയോഗിച്ച് TLS 1.3 അവസാനിപ്പിക്കുന്നതിനും ESNI-യെ പിന്തുണയ്ക്കാത്ത അപ്സ്ട്രീമിലേക്കുള്ള പ്രോക്സി HTTP(S) ട്രാഫിക്കിനെയും പിന്തുണയ്ക്കും. പ്രധാന ഘടകങ്ങൾ മാറ്റാതെ - അതായത്, ESNI-യെ പിന്തുണയ്‌ക്കാത്ത നിലവിലെ വെബ് സെർവറുകൾ ഉപയോഗിച്ച് - ഇതിനകം നിലവിലുള്ള ഒരു ഇൻഫ്രാസ്ട്രക്ചറിൽ സാങ്കേതികവിദ്യ ഉപയോഗിക്കാൻ ഇത് അനുവദിക്കുന്നു. 

വ്യക്തതയ്ക്കായി, ഇതാ ഒരു ഡയഗ്രം:

ESNI ഇല്ലാതെ ഒരു TLS കണക്ഷൻ അവസാനിപ്പിക്കാനും ESNI ഇല്ലാതെ ക്ലയൻ്റുകളെ പിന്തുണയ്ക്കാനുമുള്ള കഴിവോടെയാണ് പ്രോക്സി രൂപകൽപ്പന ചെയ്തിരിക്കുന്നതെന്ന് ഞാൻ ശ്രദ്ധിക്കുന്നു. കൂടാതെ, അപ്‌സ്ട്രീം ഉള്ള കമ്മ്യൂണിക്കേഷൻ പ്രോട്ടോക്കോൾ 1.3-ൽ താഴെയുള്ള TLS പതിപ്പുള്ള HTTP അല്ലെങ്കിൽ HTTPS ആകാം (അപ്‌സ്ട്രീം 1.3 പിന്തുണയ്ക്കുന്നില്ലെങ്കിൽ). ഈ സ്കീം പരമാവധി വഴക്കം നൽകുന്നു.

ESNI പിന്തുണ നടപ്പിലാക്കൽ ഓണാണ് go ഞങ്ങൾ കടം വാങ്ങി ച്ലൊഉദ്ഫ്ലരെ. സ്റ്റാൻഡേർഡ് ലൈബ്രറിയിലെ മാറ്റങ്ങൾ ഉൾപ്പെടുന്നതിനാൽ, നടപ്പാക്കൽ തന്നെ നിസ്സാരമല്ലെന്ന് ഞാൻ ഉടനെ ശ്രദ്ധിക്കാൻ ആഗ്രഹിക്കുന്നു. crypto/tls അതിനാൽ "പാച്ചിംഗ്" ആവശ്യമാണ് ഗൊരൂട്ട് അസംബ്ലിക്ക് മുമ്പ്.

ഞങ്ങൾ ഉപയോഗിച്ച ESNI കീകൾ സൃഷ്ടിക്കാൻ എസ്നിറ്റൂൾ (ക്ലൗഡ്ഫ്ലെയറിൻ്റെ ആശയവും). ഈ കീകൾ എസ്എൻഐ എൻക്രിപ്ഷൻ/ഡീക്രിപ്ഷൻ ഉപയോഗിക്കുന്നു.
ഗോ 1.13 ഉപയോഗിച്ച് ഞങ്ങൾ ബിൽഡ് പരീക്ഷിച്ചു. Linux (Debian, ആൽപൈൻ) കൂടാതെ മാകോസ്. 

പ്രവർത്തന സവിശേഷതകളെ കുറിച്ച് കുറച്ച് വാക്കുകൾ

ആർപിഎസ്, അപ്‌സ്ട്രീം ലേറ്റൻസി & റെസ്‌പോൺസ് കോഡുകൾ, പരാജയപ്പെട്ട/വിജയിച്ച ടിഎൽഎസ് ഹാൻഡ്‌ഷേക്കുകൾ, ടിഎൽഎസ് ഹാൻഡ്‌ഷേക്ക് ദൈർഘ്യം എന്നിവ പോലുള്ള പ്രോമിത്യൂസ് ഫോർമാറ്റിൽ മെട്രിക്‌സ് ESNI റിവേഴ്സ് പ്രോക്സി നൽകുന്നു. ഒറ്റനോട്ടത്തിൽ, പ്രോക്സി ട്രാഫിക് എങ്ങനെ കൈകാര്യം ചെയ്യുന്നു എന്ന് വിലയിരുത്താൻ ഇത് മതിയാകും. 

ഉപയോഗിക്കുന്നതിന് മുമ്പ് ഞങ്ങൾ ലോഡ് പരിശോധനയും നടത്തി. ഫലങ്ങൾ താഴെ:

wrk -t50 -c1000 -d360s 'https://esni-rev-proxy.npw:443' --timeout 15s
Running 6m test @ https://esni-rev-proxy.npw:443
  50 threads and 1000 connections
  Thread Stats   Avg      Stdev     Max   +/- Stdev
    Latency     1.77s     1.21s    7.20s    65.43%
    Req/Sec    13.78      8.84   140.00     83.70%
  206357 requests in 6.00m, 6.08GB read
Requests/sec:    573.07
Transfer/sec:     17.28MB 

ESNI റിവേഴ്സ് പ്രോക്സി ഉപയോഗിച്ചും അല്ലാതെയും സ്കീം താരതമ്യം ചെയ്യാൻ ഞങ്ങൾ തികച്ചും ഗുണപരമായ ലോഡ് ടെസ്റ്റിംഗ് നടത്തി. ഇൻ്റർമീഡിയറ്റ് ഘടകങ്ങളിലെ "ഇടപെടൽ" ഇല്ലാതാക്കാൻ ഞങ്ങൾ പ്രാദേശികമായി ട്രാഫിക് "പകർന്നു".

അതിനാൽ, ESNI പിന്തുണയും HTTP-യിൽ നിന്ന് അപ്‌സ്ട്രീമിലേക്കുള്ള പ്രോക്‌സിംഗും ഉപയോഗിച്ച്, ESNI റിവേഴ്‌സ് പ്രോക്‌സിയുടെ ശരാശരി CPU/RAM ഉപഭോഗം ഉപയോഗിച്ച് ഞങ്ങൾക്ക് ഒരു സംഭവത്തിൽ നിന്ന് ഏകദേശം ~550 rps ലഭിച്ചു:

• 80% CPU ഉപയോഗം (4 vCPU, 4 GB RAM ഹോസ്റ്റുകൾ, Linux)
• 130 MB മെം RSS

താരതമ്യത്തിനായി, TLS (HTTP പ്രോട്ടോക്കോൾ) അവസാനിപ്പിക്കാതെ അതേ nginx അപ്‌സ്ട്രീമിനുള്ള RPS ~ 1100 ആണ്:

wrk -t50 -c1000 -d360s 'http://lb.npw:80' –-timeout 15s
Running 6m test @ http://lb.npw:80
  50 threads and 1000 connections
  Thread Stats   Avg      Stdev     Max   +/- Stdev
    Latency     1.11s     2.30s   15.00s    90.94%
    Req/Sec    23.25     13.55   282.00     79.25%
  393093 requests in 6.00m, 11.35GB read
  Socket errors: connect 0, read 0, write 0, timeout 9555
  Non-2xx or 3xx responses: 8111
Requests/sec:   1091.62
Transfer/sec:     32.27MB 

ടൈംഔട്ടുകളുടെ സാന്നിധ്യം സൂചിപ്പിക്കുന്നത് വിഭവങ്ങളുടെ അഭാവമാണ് (ഞങ്ങൾ 4 vCPU, 4 GB RAM ഹോസ്റ്റുകൾ ഉപയോഗിച്ചു, Linux), വാസ്തവത്തിൽ സാധ്യതയുള്ള RPS കൂടുതലാണ് (കൂടുതൽ ശക്തമായ ഉറവിടങ്ങളിൽ നിന്ന് 2700 RPS വരെയുള്ള കണക്കുകൾ ഞങ്ങൾക്ക് ലഭിച്ചു).

ഉപസംഹാരമായി, ഞാൻ ശ്രദ്ധിക്കുന്നു ESNI സാങ്കേതികവിദ്യ വളരെ പ്രതീക്ഷ നൽകുന്നതായി തോന്നുന്നു. ഇനിയും നിരവധി തുറന്ന ചോദ്യങ്ങളുണ്ട്, ഉദാഹരണത്തിന്, DNS-ൽ പൊതു ESNI കീ സംഭരിക്കുന്നതിനും ESNI കീകൾ കറക്കുന്നതിനുമുള്ള പ്രശ്നങ്ങൾ - ഈ പ്രശ്നങ്ങൾ സജീവമായി ചർച്ച ചെയ്യപ്പെടുന്നു, കൂടാതെ ESNI ഡ്രാഫ്റ്റിൻ്റെ ഏറ്റവും പുതിയ പതിപ്പ് (എഴുതുന്ന സമയത്ത്) ഇതിനകം തന്നെ ഉണ്ട്. 7.

അവലംബം: www.habr.com