ഞങ്ങൾ TLS 1.3 പ്രവർത്തനക്ഷമമാക്കി. എന്തുകൊണ്ടാണ് നിങ്ങൾ അങ്ങനെ ചെയ്യേണ്ടത്

വർഷത്തിന്റെ തുടക്കത്തിൽ, 2018-2019 ലെ ഇന്റർനെറ്റ് പ്രശ്‌നങ്ങളെയും പ്രവേശനക്ഷമതയെയും കുറിച്ചുള്ള ഒരു റിപ്പോർട്ടിൽ ഞങ്ങൾ ഇതിനകം എഴുതിTLS 1.3 ന്റെ വ്യാപനം അനിവാര്യമാണെന്ന്. കുറച്ച് സമയം മുമ്പ്, ഞങ്ങൾ ട്രാൻസ്പോർട്ട് ലെയർ സെക്യൂരിറ്റി പ്രോട്ടോക്കോളിന്റെ പതിപ്പ് 1.3 വിന്യസിച്ചു, ഡാറ്റ ശേഖരിക്കുകയും വിശകലനം ചെയ്യുകയും ചെയ്ത ശേഷം, ഈ പരിവർത്തനത്തിന്റെ സവിശേഷതകളെക്കുറിച്ച് സംസാരിക്കാൻ ഞങ്ങൾ തയ്യാറാണ്.

IETF TLS വർക്കിംഗ് ഗ്രൂപ്പ് ചെയർ എഴുതുക:
"ചുരുക്കത്തിൽ, അടുത്ത 1.3 വർഷത്തേക്ക് കൂടുതൽ സുരക്ഷിതവും കാര്യക്ഷമവുമായ ഇന്റർനെറ്റിന് TLS 20 അടിത്തറ നൽകും."

വികസനം TLS 1.3 നീണ്ട 10 വർഷമെടുത്തു. പ്രാരംഭ ഡ്രാഫ്റ്റിൽ നിന്നുള്ള പ്രോട്ടോക്കോൾ സൃഷ്‌ടിക്കൽ പ്രക്രിയയെ ഞങ്ങൾ മറ്റ് വ്യവസായങ്ങളോടൊപ്പം ക്രെറ്റർ ലാബുകളിൽ സൂക്ഷ്മമായി പാലിച്ചു. ഈ സമയത്ത്, 28-ൽ സമതുലിതമായതും വിന്യസിക്കാൻ എളുപ്പമുള്ളതുമായ ഒരു പ്രോട്ടോക്കോളിന്റെ വെളിച്ചം ആത്യന്തികമായി കാണുന്നതിന് ഡ്രാഫ്റ്റിന്റെ തുടർച്ചയായ 2019 പതിപ്പുകൾ എഴുതേണ്ടത് ആവശ്യമാണ്. TLS 1.3-നുള്ള സജീവമായ വിപണി പിന്തുണ ഇതിനകം പ്രകടമാണ്: തെളിയിക്കപ്പെട്ടതും വിശ്വസനീയവുമായ ഒരു സുരക്ഷാ പ്രോട്ടോക്കോൾ നടപ്പിലാക്കുന്നത് കാലത്തിന്റെ ആവശ്യങ്ങൾ നിറവേറ്റുന്നു.

എറിക് റെസ്‌കോർലയുടെ അഭിപ്രായത്തിൽ (ഫയർഫോക്സ് സിടിഒയും ടിഎൽഎസ് 1.3-ന്റെ ഏക രചയിതാവും) രജിസ്റ്ററിന് നൽകിയ അഭിമുഖത്തിൽ:

"ഇത് TLS 1.2-ന് പകരം വയ്ക്കുന്നതാണ്, ഒരേ കീകളും സർട്ടിഫിക്കറ്റുകളും ഉപയോഗിക്കുന്നു, അതിനാൽ ക്ലയന്റിനും സെർവറിനും TLS 1.3-നെ പിന്തുണച്ചാൽ സ്വയമേവ ആശയവിനിമയം നടത്താനാകും," അദ്ദേഹം പറഞ്ഞു. "ലൈബ്രറി തലത്തിൽ ഇതിനകം തന്നെ നല്ല പിന്തുണയുണ്ട്, Chrome, Firefox എന്നിവ സ്ഥിരസ്ഥിതിയായി TLS 1.3 പ്രവർത്തനക്ഷമമാക്കുന്നു."

സമാന്തരമായി, IETF വർക്കിംഗ് ഗ്രൂപ്പിൽ TLS അവസാനിക്കുന്നു RFC തയ്യാറെടുപ്പ്, TLS-ന്റെ പഴയ പതിപ്പുകൾ (TLS 1.2 മാത്രം ഒഴികെ) കാലഹരണപ്പെട്ടതും ഉപയോഗശൂന്യവുമാണെന്ന് പ്രഖ്യാപിക്കുന്നു. മിക്കവാറും, അവസാന RFC വേനൽക്കാലം അവസാനിക്കുന്നതിന് മുമ്പ് പുറത്തിറങ്ങും. ഇത് ഐടി വ്യവസായത്തിനുള്ള മറ്റൊരു സൂചനയാണ്: എൻക്രിപ്ഷൻ പ്രോട്ടോക്കോളുകൾ അപ്ഡേറ്റ് ചെയ്യുന്നത് വൈകരുത്.

ഏറ്റവും അനുയോജ്യമായ ലൈബ്രറി തിരയുന്ന ആർക്കും Github-ൽ നിലവിലുള്ള TLS 1.3 നടപ്പിലാക്കലുകളുടെ ഒരു ലിസ്റ്റ് ലഭ്യമാണ്: https://github.com/tlswg/tls13-spec/wiki/Implementations. അപ്‌ഡേറ്റ് ചെയ്‌ത പ്രോട്ടോക്കോളിനായുള്ള ദത്തെടുക്കലും പിന്തുണയും വേഗത്തിലാണ് പുരോഗമിക്കുന്നതെന്ന് വ്യക്തമാണ്. ആധുനിക ലോകത്ത് അടിസ്ഥാന എൻക്രിപ്ഷൻ എങ്ങനെയാണ് മാറിയത് എന്നതിനെക്കുറിച്ചുള്ള ധാരണ വളരെ വ്യാപകമായി പ്രചരിച്ചു.

TLS 1.2 മുതൽ എന്താണ് മാറിയത്?

താഴെ ഇന്റർനെറ്റ് സൊസൈറ്റി കുറിപ്പുകൾ:
“TLS 1.3 എങ്ങനെയാണ് ലോകത്തെ മികച്ച സ്ഥലമാക്കുന്നത്?

TLS 1.3-ൽ ചില സാങ്കേതിക നേട്ടങ്ങൾ ഉൾപ്പെടുന്നു-ഒരു സുരക്ഷിത കണക്ഷൻ സ്ഥാപിക്കുന്നതിനുള്ള ലളിതമായ ഹാൻഡ്‌ഷേക്ക് പ്രക്രിയ പോലുള്ളവ- കൂടാതെ സെർവറുകളുമായുള്ള സെഷനുകൾ വേഗത്തിൽ പുനരാരംഭിക്കാൻ ക്ലയന്റുകളെ അനുവദിക്കുന്നു. എൻക്രിപ്റ്റ് ചെയ്യാത്ത HTTP കണക്ഷനുകൾ മാത്രം നൽകുന്നതിനുള്ള ന്യായീകരണമായി ഉപയോഗിക്കപ്പെടുന്ന ദുർബലമായ ലിങ്കുകളിലെ കണക്ഷൻ സജ്ജീകരണ ലേറ്റൻസിയും കണക്ഷൻ പരാജയങ്ങളും കുറയ്ക്കുന്നതിനാണ് ഈ നടപടികൾ.

വളരെ പ്രധാനമായി, SHA-1, MD5, DES, 3DES, AES-CBC എന്നിവയുൾപ്പെടെ TLS-ന്റെ മുൻ പതിപ്പുകൾക്കൊപ്പം ഉപയോഗിക്കുന്നതിന് ഇപ്പോഴും അനുവദനീയമായ (ശുപാർശ ചെയ്തിട്ടില്ലെങ്കിലും) നിരവധി ലെഗസി, സുരക്ഷിതമല്ലാത്ത എൻക്രിപ്ഷൻ, ഹാഷിംഗ് അൽഗോരിതങ്ങൾ എന്നിവയ്ക്കുള്ള പിന്തുണ ഇത് നീക്കം ചെയ്യുന്നു. പുതിയ സൈഫർ സ്യൂട്ടുകൾക്കുള്ള പിന്തുണ ചേർക്കുന്നു. മറ്റ് മെച്ചപ്പെടുത്തലുകളിൽ ഹാൻഡ്‌ഷേക്കിന്റെ കൂടുതൽ എൻക്രിപ്റ്റഡ് ഘടകങ്ങൾ ഉൾപ്പെടുന്നു (ഉദാഹരണത്തിന്, സർട്ടിഫിക്കറ്റ് വിവരങ്ങളുടെ കൈമാറ്റം ഇപ്പോൾ എൻക്രിപ്റ്റുചെയ്‌തിരിക്കുന്നു) സാധ്യതയുള്ള ട്രാഫിക്ക് ഒളിഞ്ഞുനോട്ടക്കാരനിലേക്കുള്ള സൂചനകളുടെ അളവ് കുറയ്ക്കുകയും ചില കീ എക്‌സ്‌ചേഞ്ച് മോഡുകൾ ഉപയോഗിക്കുമ്പോൾ രഹസ്യം കൈമാറുന്നതിനുള്ള മെച്ചപ്പെടുത്തലുകളും ഉൾപ്പെടുന്നു. എൻക്രിപ്റ്റ് ചെയ്യാൻ ഉപയോഗിക്കുന്ന അൽഗോരിതങ്ങൾ ഭാവിയിൽ വിട്ടുവീഴ്ച ചെയ്യപ്പെടുകയാണെങ്കിൽപ്പോലും എല്ലായ്‌പ്പോഴും സുരക്ഷിതമായി നിലകൊള്ളണം.

ആധുനിക പ്രോട്ടോക്കോളുകളുടെയും ഡിഡിഒഎസിന്റെയും വികസനം

നിങ്ങൾ ഇതിനകം വായിച്ചിരിക്കാം, പ്രോട്ടോക്കോൾ വികസിപ്പിക്കുന്ന സമയത്ത് അതിനുശേഷവും, IETF TLS വർക്കിംഗ് ഗ്രൂപ്പിൽ ഗുരുതരമായ വൈരുദ്ധ്യങ്ങൾ ഉടലെടുത്തു. ഇപ്പോൾ ബിൽറ്റ്-ഇൻ ചെയ്തിരിക്കുന്ന പ്രോട്ടോക്കോൾ ഉൾക്കൊള്ളുന്നതിനായി വ്യക്തിഗത സംരംഭങ്ങൾക്ക് (ധനകാര്യ സ്ഥാപനങ്ങൾ ഉൾപ്പെടെ) സ്വന്തം നെറ്റ്‌വർക്ക് സുരക്ഷിതമാക്കുന്ന രീതി മാറ്റേണ്ടിവരുമെന്ന് ഇപ്പോൾ വ്യക്തമാണ്. പൂർണ്ണമായ മുൻകൂർ രഹസ്യങ്ങൾ.

ഇത് ആവശ്യമായി വരാനുള്ള കാരണങ്ങൾ പ്രമാണത്തിൽ സജ്ജീകരിച്ചിരിക്കുന്നു, സ്റ്റീവ് ഫെന്റർ എഴുതിയത്. 20-പേജുള്ള പേപ്പറിൽ ഒരു എന്റർപ്രൈസ് നിരീക്ഷണത്തിനോ കംപ്ലയൻസ് അല്ലെങ്കിൽ ആപ്ലിക്കേഷൻ ലെയർ (L7) DDoS പരിരക്ഷണ ആവശ്യങ്ങൾക്കായി ഔട്ട്-ഓഫ്-ബാൻഡ് ട്രാഫിക് (PFS അനുവദിക്കാത്ത) ഡീക്രിപ്റ്റ് ചെയ്യാൻ ആഗ്രഹിക്കുന്ന നിരവധി ഉദാഹരണങ്ങൾ പരാമർശിക്കുന്നു.

റെഗുലേറ്ററി ആവശ്യകതകളെക്കുറിച്ച് ഊഹിക്കാൻ ഞങ്ങൾ തീർച്ചയായും തയ്യാറല്ലെങ്കിലും, ഞങ്ങളുടെ ഉടമസ്ഥതയിലുള്ള ആപ്ലിക്കേഷൻ DDoS ലഘൂകരണ ഉൽപ്പന്നം (ഒരു പരിഹാരം ഉൾപ്പെടെ വെളിപ്പെടുത്തൽ ആവശ്യമില്ല സെൻസിറ്റീവ് കൂടാതെ/അല്ലെങ്കിൽ രഹസ്യാത്മക വിവരങ്ങൾ) PFS കണക്കിലെടുത്ത് 2012-ൽ സൃഷ്ടിച്ചതാണ്, അതിനാൽ സെർവർ വശത്തുള്ള TLS പതിപ്പ് അപ്‌ഡേറ്റ് ചെയ്തതിന് ശേഷം ഞങ്ങളുടെ ക്ലയന്റുകളും പങ്കാളികളും അവരുടെ ഇൻഫ്രാസ്ട്രക്ചറിൽ മാറ്റങ്ങളൊന്നും വരുത്തേണ്ടതില്ല.

കൂടാതെ, നടപ്പിലാക്കിയതിനുശേഷം, ഗതാഗത എൻക്രിപ്ഷനുമായി ബന്ധപ്പെട്ട പ്രശ്നങ്ങളൊന്നും തിരിച്ചറിഞ്ഞിട്ടില്ല. ഇത് ഔദ്യോഗികമാണ്: TLS 1.3 നിർമ്മാണത്തിന് തയ്യാറാണ്.

എന്നിരുന്നാലും, അടുത്ത തലമുറ പ്രോട്ടോക്കോളുകളുടെ വികസനവുമായി ബന്ധപ്പെട്ട് ഇപ്പോഴും ഒരു പ്രശ്നമുണ്ട്. ഐ‌ഇ‌ടി‌എഫിലെ പ്രോട്ടോക്കോൾ പുരോഗതി സാധാരണയായി അക്കാദമിക് ഗവേഷണത്തെ വളരെയധികം ആശ്രയിച്ചിരിക്കുന്നു എന്നതാണ് പ്രശ്‌നം, കൂടാതെ വിതരണം ചെയ്യപ്പെട്ട സേവന നിരസിക്കൽ ആക്രമണങ്ങൾ ലഘൂകരിക്കുന്നതിനുള്ള മേഖലയിലെ അക്കാദമിക് ഗവേഷണത്തിന്റെ അവസ്ഥ വളരെ മോശമാണ്.

അതിനാൽ, ഒരു നല്ല ഉദാഹരണം ആയിരിക്കും വിഭാഗം 4.4 വരാനിരിക്കുന്ന ക്യുഐസി പ്രോട്ടോക്കോൾ സ്യൂട്ടിന്റെ ഭാഗമായ IETF ഡ്രാഫ്റ്റ് "QUIC മാനേജബിലിറ്റി", "[DDoS ആക്രമണങ്ങൾ] കണ്ടുപിടിക്കുന്നതിനും ലഘൂകരിക്കുന്നതിനുമുള്ള ആധുനിക രീതികളിൽ സാധാരണയായി നെറ്റ്‌വർക്ക് ഫ്ലോ ഡാറ്റ ഉപയോഗിച്ച് നിഷ്ക്രിയ അളവെടുപ്പ് ഉൾപ്പെടുന്നു" എന്ന് പറയുന്നു.

രണ്ടാമത്തേത്, യഥാർത്ഥ എന്റർപ്രൈസ് പരിതസ്ഥിതികളിൽ വളരെ അപൂർവമാണ് (ഒപ്പം ISP-കൾക്ക് ഭാഗികമായി മാത്രമേ ബാധകമാകൂ), ഏത് സാഹചര്യത്തിലും യഥാർത്ഥ ലോകത്ത് ഒരു "പൊതു കേസ്" ആകാൻ സാധ്യതയില്ല - എന്നാൽ ശാസ്ത്ര പ്രസിദ്ധീകരണങ്ങളിൽ സ്ഥിരമായി പ്രത്യക്ഷപ്പെടുന്നു, സാധാരണയായി പിന്തുണയ്ക്കില്ല ആപ്ലിക്കേഷൻ ലെവൽ ആക്രമണങ്ങൾ ഉൾപ്പെടെയുള്ള സാധ്യതയുള്ള DDoS ആക്രമണങ്ങളുടെ മുഴുവൻ സ്പെക്ട്രവും പരീക്ഷിച്ചുകൊണ്ട്. രണ്ടാമത്തേത്, കുറഞ്ഞത് TLS-ന്റെ ലോകമെമ്പാടുമുള്ള വിന്യാസം കാരണം, നെറ്റ്‌വർക്ക് പാക്കറ്റുകളുടെയും ഫ്ലോകളുടെയും നിഷ്ക്രിയ അളവെടുപ്പിലൂടെ വ്യക്തമായി കണ്ടെത്താൻ കഴിയില്ല.

അതുപോലെ, DDoS ലഘൂകരണ ഹാർഡ്‌വെയർ വെണ്ടർമാർ TLS 1.3-ന്റെ യാഥാർത്ഥ്യങ്ങളുമായി എങ്ങനെ പൊരുത്തപ്പെടുമെന്ന് ഞങ്ങൾക്ക് ഇതുവരെ അറിയില്ല. ഔട്ട്-ഓഫ്-ബാൻഡ് പ്രോട്ടോക്കോൾ പിന്തുണയ്ക്കുന്നതിന്റെ സാങ്കേതിക സങ്കീർണ്ണത കാരണം, നവീകരണത്തിന് കുറച്ച് സമയമെടുത്തേക്കാം.

ഗവേഷണത്തെ നയിക്കാൻ ശരിയായ ലക്ഷ്യങ്ങൾ സ്ഥാപിക്കുക എന്നത് DDoS ലഘൂകരണ സേവന ദാതാക്കളുടെ ഒരു പ്രധാന വെല്ലുവിളിയാണ്. വികസനം ആരംഭിക്കാൻ കഴിയുന്ന ഒരു മേഖലയാണ് സ്മാർട്ട് ഗവേഷണ സംഘം IRTF-ൽ, ഗവേഷകർക്ക് വ്യവസായവുമായി സഹകരിച്ച് വെല്ലുവിളി നിറഞ്ഞ ഒരു വ്യവസായത്തെക്കുറിച്ചുള്ള സ്വന്തം അറിവ് പരിഷ്കരിക്കാനും ഗവേഷണത്തിന്റെ പുതിയ വഴികൾ പര്യവേക്ഷണം ചെയ്യാനും കഴിയും. എല്ലാ ഗവേഷകരെയും ഞങ്ങൾ ഊഷ്മളമായ സ്വാഗതം ചെയ്യുന്നു, എന്തെങ്കിലും ഉണ്ടെങ്കിൽ - DDoS ഗവേഷണവുമായി ബന്ധപ്പെട്ട ചോദ്യങ്ങളോ നിർദ്ദേശങ്ങളോ ആയി ഞങ്ങളെ ബന്ധപ്പെടാം അല്ലെങ്കിൽ സ്‌മാർട്ട് ഗവേഷണ ഗ്രൂപ്പുമായി ബന്ധപ്പെടാം [ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]

അവലംബം: www.habr.com