पूर्वी, प्रमाणपत्रे अनेकदा कालबाह्य झाली कारण त्यांचे नूतनीकरण स्वतः करावे लागे. लोक ते करायला विसरले. Let's Encrypt आणि स्वयंचलित अपडेट प्रक्रियेच्या आगमनाने, असे दिसते की समस्येचे निराकरण केले पाहिजे. पण अलीकडील फायरफॉक्स कथा हे दाखवते की ते खरे तर अजूनही संबंधित आहे. दुर्दैवाने, प्रमाणपत्रे कालबाह्य होत आहेत.

जर तुमची कथा चुकली असेल तर, 4 मे 2019 रोजी मध्यरात्री, जवळजवळ सर्व फायरफॉक्स विस्तारांनी अचानक काम करणे बंद केले.

हे उघड झाले की, मोझीलामुळे मोठ्या प्रमाणात अपयश आले प्रमाणपत्र कालबाह्य झाले आहे, जे विस्तारांवर स्वाक्षरी करण्यासाठी वापरले होते. म्हणून, ते "अवैध" म्हणून चिन्हांकित केले गेले आणि सत्यापित केले गेले नाहीत (तांत्रिक तपशील). मंचांवर, वर्कअराउंड म्हणून, विस्तार स्वाक्षरी सत्यापन अक्षम करण्याची शिफारस केली होती about: config किंवा सिस्टम घड्याळ बदलणे.

Mozilla ने त्वरित Firefox 66.0.4 पॅच रिलीझ केले, जे अवैध प्रमाणपत्रासह समस्येचे निराकरण करते आणि सर्व विस्तार सामान्य स्थितीत परत येतात. विकसक ते स्थापित करण्याची शिफारस करतात आणि वापरू नका स्वाक्षरी पडताळणीला बायपास करण्यासाठी कोणतेही उपाय नाहीत कारण ते पॅचशी संघर्ष करू शकतात.

तथापि, ही कथा पुन्हा एकदा दर्शवते की प्रमाणपत्र कालबाह्यता ही आजही एक महत्त्वाची समस्या आहे.

या संदर्भात, प्रोटोकॉल डेव्हलपर्सने हे कार्य कसे हाताळले हे ऐवजी मूळ मार्ग पाहणे मनोरंजक आहे DNS क्रिप्ट. त्यांचे समाधान दोन भागात विभागले जाऊ शकते. प्रथम, ही अल्पकालीन प्रमाणपत्रे आहेत. दुसरे म्हणजे, वापरकर्त्यांना दीर्घ मुदतीच्या कालबाह्यतेबद्दल चेतावणी.

DNS क्रिप्ट

DNSCrypt एक DNS रहदारी एन्क्रिप्शन प्रोटोकॉल आहे. हे इंटरसेप्शन आणि MiTMs पासून DNS संप्रेषणांचे संरक्षण करते आणि तुम्हाला DNS क्वेरी स्तरावर ब्लॉकिंगला बायपास करण्याची अनुमती देते.

प्रोटोकॉल क्लायंट आणि सर्व्हरमधील DNS ट्रॅफिकला क्रिप्टोग्राफिक रचनामध्ये गुंडाळतो, UDP आणि TCP ट्रान्सपोर्ट प्रोटोकॉलवर चालतो. ते वापरण्यासाठी, क्लायंट आणि DNS रिझॉल्व्हर दोघांनी DNSCrypt ला सपोर्ट करणे आवश्यक आहे. उदाहरणार्थ, मार्च 2016 पासून, ते त्याच्या DNS सर्व्हरवर आणि Yandex ब्राउझरमध्ये सक्षम केले गेले आहे. Google आणि Cloudflare सह इतर अनेक प्रदात्यांनी देखील समर्थन जाहीर केले आहे. दुर्दैवाने, त्यापैकी बरेच नाहीत (152 सार्वजनिक DNS सर्व्हर अधिकृत वेबसाइटवर सूचीबद्ध आहेत). पण कार्यक्रम dnscrypt-प्रॉक्सी Linux, Windows आणि MacOS क्लायंटवर व्यक्तिचलितपणे स्थापित केले जाऊ शकते. तसेच आहेत सर्व्हर अंमलबजावणी.

DNSCrypt कसे कार्य करते? थोडक्यात, क्लायंट निवडलेल्या प्रदात्याची सार्वजनिक की घेतो आणि त्याची प्रमाणपत्रे सत्यापित करण्यासाठी त्याचा वापर करतो. सत्रासाठी अल्पकालीन सार्वजनिक की आणि सायफर सूट आयडेंटिफायर आधीपासूनच आहेत. क्लायंटना प्रत्येक विनंतीसाठी नवीन की व्युत्पन्न करण्यासाठी प्रोत्साहित केले जाते आणि सर्व्हरला की बदलण्यासाठी प्रोत्साहित केले जाते दर 24 तासांनी. की अदलाबदल करताना, X25519 अल्गोरिदम वापरला जातो, स्वाक्षरीसाठी - EdDSA, ब्लॉक एन्क्रिप्शनसाठी - XSalsa20-Poly1305 किंवा XChaCha20-Poly1305.

प्रोटोकॉल विकसकांपैकी एक फ्रँक डेनिस तो लिहितोदर 24 तासांनी स्वयंचलित बदलीमुळे कालबाह्य झालेल्या प्रमाणपत्रांची समस्या सोडवली. तत्वतः, dnscrypt-प्रॉक्सी संदर्भ क्लायंट कोणत्याही वैधता कालावधीसह प्रमाणपत्रे स्वीकारतो, परंतु 24 तासांपेक्षा जास्त काळ वैध असल्यास "या सर्व्हरसाठी dnscrypt-प्रॉक्सी की कालावधी खूप मोठा आहे" अशी चेतावणी जारी करते. त्याच वेळी, एक डॉकर प्रतिमा जारी केली गेली, ज्यामध्ये की (आणि प्रमाणपत्रे) चा द्रुत बदल लागू केला गेला.

प्रथम, हे सुरक्षिततेसाठी अत्यंत उपयुक्त आहे: जर सर्व्हरशी तडजोड झाली असेल किंवा की लीक झाली असेल, तर कालची रहदारी डिक्रिप्ट केली जाऊ शकत नाही. की आधीच बदलली आहे. यामुळे यारोवाया कायद्याच्या अंमलबजावणीसाठी समस्या निर्माण होण्याची शक्यता आहे, जे प्रदात्यांना एनक्रिप्टेड रहदारीसह सर्व रहदारी संचयित करण्यास भाग पाडते. तात्पर्य असा आहे की साइटवरून की विनंती करून आवश्यक असल्यास ते नंतर डिक्रिप्ट केले जाऊ शकते. परंतु या प्रकरणात, साइट फक्त ते प्रदान करू शकत नाही, कारण ती अल्पकालीन की वापरते, जुन्या हटवते.

पण सर्वात महत्त्वाचे म्हणजे, डेनिस लिहितात, शॉर्ट-टर्म की पहिल्या दिवसापासून सर्व्हरला ऑटोमेशन सेट करण्यास भाग पाडतात. जर सर्व्हर नेटवर्कशी कनेक्ट झाला आणि की चेंज स्क्रिप्ट्स कॉन्फिगर केल्या नाहीत किंवा काम करत नाहीत, तर हे लगेच आढळून येईल.

जेव्हा ऑटोमेशन दर काही वर्षांनी की बदलते, तेव्हा त्यावर विसंबून राहता येत नाही आणि लोक प्रमाणपत्र कालबाह्यता विसरू शकतात. तुम्ही दररोज कळा बदलल्यास, हे त्वरित ओळखले जाईल.

त्याच वेळी, जर ऑटोमेशन सामान्यपणे कॉन्फिगर केले असेल, तर कळा किती वेळा बदलल्या जातात हे महत्त्वाचे नाही: दरवर्षी, प्रत्येक तिमाहीत किंवा दिवसातून तीन वेळा. जर सर्वकाही 24 तासांपेक्षा जास्त काळ कार्य करत असेल तर ते कायमचे कार्य करेल, फ्रँक डेनिस लिहितात. त्यांच्या मते, प्रोटोकॉलच्या दुसऱ्या आवृत्तीमध्ये दैनिक की रोटेशनची शिफारस, एकत्रितपणे तयार केलेल्या डॉकर प्रतिमेसह जे ते लागू करते, कालबाह्य प्रमाणपत्रांसह सर्व्हरची संख्या प्रभावीपणे कमी करते, त्याच वेळी सुरक्षा सुधारते.

तथापि, काही प्रदाते अजूनही काही तांत्रिक कारणांमुळे, प्रमाणपत्र वैधता कालावधी 24 तासांपेक्षा जास्त सेट करण्याचा निर्णय घेतात. ही समस्या dnscrypt-proxy मधील कोडच्या काही ओळींनी मोठ्या प्रमाणात सोडवली गेली: वापरकर्त्यांना प्रमाणपत्राची मुदत संपण्याच्या 30 दिवस आधी माहितीपूर्ण चेतावणी मिळते, कालबाह्य होण्याच्या 7 दिवस आधी उच्च तीव्रतेच्या पातळीसह दुसरा संदेश आणि प्रमाणपत्रामध्ये काही शिल्लक असल्यास एक गंभीर संदेश प्राप्त होतो. वैधता 24 तासांपेक्षा कमी. हे फक्त त्या प्रमाणपत्रांना लागू होते ज्यांचा वैधता कालावधी सुरुवातीला असतो.

हे संदेश वापरकर्त्यांना खूप उशीर होण्याआधी DNS ऑपरेटरना येऊ घातलेल्या प्रमाणपत्र कालबाह्यतेबद्दल सूचित करण्याची संधी देतात.

कदाचित सर्व फायरफॉक्स वापरकर्त्यांना असा संदेश मिळाला असेल, तर कोणीतरी कदाचित विकसकांना माहिती देईल आणि ते प्रमाणपत्र कालबाह्य होऊ देणार नाहीत. फ्रँक डेनिस लिहितात, “मला सार्वजनिक DNS सर्व्हरच्या यादीतील एकही DNSCrypt सर्व्हर आठवत नाही ज्याचे प्रमाणपत्र गेल्या दोन किंवा तीन वर्षांत कालबाह्य झाले आहे. कोणत्याही परिस्थितीत, चेतावणीशिवाय विस्तार अक्षम करण्याऐवजी वापरकर्त्यांना प्रथम चेतावणी देणे कदाचित चांगले आहे.

स्त्रोत: www.habr.com