मध्यम साप्ताहिक डायजेस्ट #5 (9 - 16 ऑगस्ट 2019)

"राष्ट्रीय सुरक्षा" हा शब्दप्रयोग आपण नेहमीच ऐकतो, परंतु जेव्हा सरकार आपल्या संप्रेषणांवर लक्ष ठेवण्यास सुरुवात करते, विश्वासार्ह संशय, कायदेशीर आधाराशिवाय आणि कोणत्याही स्पष्ट हेतूशिवाय रेकॉर्ड करणे सुरू करते, तेव्हा आपण स्वतःला प्रश्न विचारला पाहिजे: ते खरोखरच राष्ट्रीय सुरक्षेचे रक्षण करत आहेत किंवा ते स्वतःचे संरक्षण करतात का?

- एडवर्ड स्नोडेन

या डायजेस्टचा उद्देश गोपनीयतेच्या मुद्द्यामध्ये समुदायाची आवड वाढवणे आहे, ज्याच्या प्रकाशात नवीनतम कार्यक्रम पूर्वीपेक्षा अधिक संबंधित होते.

अजेंडावर:

       विकेंद्रित इंटरनेट प्रदाता "माध्यम" च्या समुदायातील उत्साही त्यांचे स्वतःचे शोध इंजिन तयार करत आहेत
       मीडियमने एक नवीन प्रमाणन प्राधिकरण स्थापन केले आहे, मिडियम ग्लोबल रूट CA. बदलांचा कोणावर परिणाम होईल?
       प्रत्येक घरासाठी सुरक्षा प्रमाणपत्रे - Yggdrasil नेटवर्कवर तुमची स्वतःची सेवा कशी तयार करावी आणि त्यासाठी वैध SSL प्रमाणपत्र कसे जारी करावे

मला आठवण करून द्या - "मध्यम" म्हणजे काय?

मध्यम (इंग्लिश. मध्यम - "मध्यस्थ", मूळ घोषणा - तुमची गोपनीयता विचारू नका. ते परत घे; इंग्रजी मध्ये देखील शब्द मध्यम म्हणजे "मध्यवर्ती") - नेटवर्क प्रवेश सेवा प्रदान करणारा एक रशियन विकेंद्रित इंटरनेट प्रदाता Yggdrasil मोफत.

पूर्ण नाव: मध्यम इंटरनेट सेवा प्रदाता. सुरुवातीला या प्रकल्पाची संकल्पना होती जाळी नेटवर्क в कोलोम्ना शहरी जिल्हा.

वाय-फाय वायरलेस डेटा ट्रान्समिशन तंत्रज्ञानाच्या वापराद्वारे अंतिम वापरकर्त्यांना Yggdrasil नेटवर्क संसाधनांमध्ये प्रवेश प्रदान करून स्वतंत्र दूरसंचार वातावरणाच्या निर्मितीचा भाग म्हणून एप्रिल 2019 मध्ये स्थापना केली गेली.

विषयावर अधिक माहिती: "विकेंद्रित इंटरनेट प्रदाता माध्यमाबद्दल तुम्हाला जे काही जाणून घ्यायचे होते, परंतु विचारण्यास घाबरत होते"

विकेंद्रित इंटरनेट प्रदाता "माध्यम" च्या समुदायातील उत्साही त्यांचे स्वतःचे शोध इंजिन तयार करत आहेत

मूलतः ऑनलाइन Yggdrasil, ज्याचा विकेंद्रीकृत इंटरनेट सेवा प्रदाता मध्यम वाहतूक म्हणून वापरतो, त्याच्याकडे स्वतःचे DNS सर्व्हर किंवा सार्वजनिक की इन्फ्रास्ट्रक्चर नव्हते - तथापि, मध्यम नेटवर्क सेवांसाठी सुरक्षा प्रमाणपत्रे जारी करण्याची आवश्यकता या दोन समस्यांचे निराकरण करते.

Yggdrasil आउट ऑफ बॉक्स पेअर्समधील ट्रॅफिक एन्क्रिप्ट करण्याची क्षमता प्रदान करत असल्यास तुम्हाला PKI ची आवश्यकता का आहे?Yggdrasil नेटवर्कवरील वेब सेवांशी कनेक्ट करण्यासाठी HTTPS वापरण्याची आवश्यकता नाही जर तुम्ही स्थानिक पातळीवर चालणाऱ्या Yggdrasil नेटवर्क राउटरद्वारे त्यांना कनेक्ट केले.

खरंच: Yggdrasil वाहतूक समान आहे प्रोटोकॉल तुम्हाला Yggdrasil नेटवर्कमधील संसाधने सुरक्षितपणे वापरण्याची परवानगी देते - आचरण करण्याची क्षमता MITM हल्ले पूर्णपणे वगळलेले.

जर तुम्ही Yggdarsil च्या इंट्रानेट संसाधनांमध्ये थेट नाही तर इंटरमीडिएट नोड - मध्यम नेटवर्क प्रवेश बिंदूद्वारे प्रवेश केला तर परिस्थिती आमूलाग्र बदलते, जे त्याच्या ऑपरेटरद्वारे प्रशासित केले जाते.

या प्रकरणात, आपण प्रसारित केलेल्या डेटाशी कोण तडजोड करू शकते:

1. प्रवेश बिंदू ऑपरेटर. हे उघड आहे की मध्यम नेटवर्क ऍक्सेस पॉईंटचा वर्तमान ऑपरेटर त्याच्या उपकरणांमधून जाणार्‍या विनाएनक्रिप्टेड रहदारीबद्दल ऐकू शकतो.
2. घुसखोर (मध्यभागी माणूस). मध्यम सारखीच समस्या आहे टोर नेटवर्क समस्या, फक्त इनपुट आणि इंटरमीडिएट नोड्सच्या संबंधात.

हे असे दिसते

निर्णय: Yggdrasil नेटवर्कमधील वेब सेवांमध्ये प्रवेश करण्यासाठी, HTTPS प्रोटोकॉल वापरा (स्तर 7 OSI मॉडेल). समस्या अशी आहे की पारंपारिक माध्यमांद्वारे Yggdrasil नेटवर्क सेवांसाठी वास्तविक सुरक्षा प्रमाणपत्र जारी करणे शक्य नाही. चला एनक्रिप्ट करा.

म्हणून, आम्ही आमचे स्वतःचे प्रमाणन केंद्र स्थापन केले - "मध्यम ग्लोबल रूट CA". मध्यम नेटवर्कमधील बहुसंख्य सेवांवर इंटरमीडिएट सर्टिफिकेशन ऑथॉरिटी मिडियम डोमेन व्हॅलिडेशन सिक्योर सर्व्हर CA च्या रूट सुरक्षा प्रमाणपत्रावर स्वाक्षरी केली जाते.

प्रमाणन प्राधिकरणाच्या मूळ प्रमाणपत्राशी तडजोड करण्याची शक्यता अर्थातच विचारात घेण्यात आली होती - परंतु डेटा ट्रान्समिशनच्या अखंडतेची पुष्टी करण्यासाठी आणि एमआयटीएम हल्ल्यांची शक्यता दूर करण्यासाठी येथे प्रमाणपत्र अधिक आवश्यक आहे.

वेगवेगळ्या ऑपरेटर्सच्या मध्यम नेटवर्क सेवांमध्ये भिन्न सुरक्षा प्रमाणपत्रे असतात, रूट प्रमाणन प्राधिकरणाद्वारे एक किंवा दुसर्या प्रकारे स्वाक्षरी केलेली असते. तथापि, रूट CA ऑपरेटर ज्या सेवांवर त्यांनी सुरक्षा प्रमाणपत्रांवर स्वाक्षरी केली आहे त्यांच्याकडून एनक्रिप्टेड ट्रॅफिक ऐकण्यास सक्षम नाहीत (पहा "सीएसआर म्हणजे काय?").

जे विशेषतः त्यांच्या सुरक्षिततेबद्दल चिंतित आहेत ते अतिरिक्त संरक्षण म्हणून अशा माध्यमांचा वापर करू शकतात, जसे की पीजीपी и समान.

सध्या, मध्यम नेटवर्कच्या सार्वजनिक की इन्फ्रास्ट्रक्चरमध्ये प्रोटोकॉल वापरून प्रमाणपत्राची स्थिती तपासण्याची क्षमता आहे. ओसीएसपी किंवा वापराद्वारे सीआरएल.

मुद्द्यावर या

वापरकर्ता @NXShock Yggdrasil नेटवर्कवर असलेल्या वेब सेवांसाठी शोध इंजिन विकसित करण्यास सुरुवात केली. एक महत्त्वाचा पैलू हा आहे की शोध करत असताना सेवांच्या IPv6 पत्त्यांचे निर्धारण मध्यम नेटवर्कमध्ये असलेल्या DNS सर्व्हरला विनंती पाठवून केले जाते.

मुख्य TLD आहे .ygg. दोन अपवादांसह बहुतेक डोमेन नावांमध्ये हा TLD असतो: .isp и .gg.

शोध इंजिन विकसित होत आहे, परंतु त्याचा वापर आजपासूनच शक्य आहे - फक्त वेबसाइटला भेट द्या search.medium.isp.

आपण प्रकल्पाच्या विकासास मदत करू शकता, GitHub वर विकासात सामील होऊन.

मीडियमने एक नवीन प्रमाणन प्राधिकरण स्थापन केले आहे, मिडियम ग्लोबल रूट CA. बदलांचा कोणावर परिणाम होईल?

काल, मध्यम रूट CA प्रमाणन केंद्राच्या कार्यक्षमतेची सार्वजनिक चाचणी पूर्ण झाली. चाचणीच्या शेवटी, सार्वजनिक की पायाभूत सुविधांच्या ऑपरेशनमधील त्रुटी दुरुस्त केल्या गेल्या आणि प्रमाणन प्राधिकरणाचे नवीन मूळ प्रमाणपत्र "मिडियम ग्लोबल रूट CA" तयार केले गेले.

PKI च्या सर्व बारकावे आणि वैशिष्ट्ये विचारात घेण्यात आली होती - आता नवीन CA प्रमाणपत्र “मध्यम ग्लोबल रूट CA” फक्त दहा वर्षांनंतर (त्याच्या कालबाह्य तारखेनंतर) जारी केले जाईल. आता सुरक्षा प्रमाणपत्रे केवळ मध्यवर्ती प्रमाणन प्राधिकरणांद्वारे जारी केली जातात - उदाहरणार्थ, "मध्यम डोमेन प्रमाणीकरण सुरक्षित सर्व्हर CA".

प्रमाणपत्र ट्रस्ट चेन आता कशी दिसते?



आपण वापरकर्ता असल्यास सर्वकाही कार्य करण्यासाठी काय करणे आवश्यक आहे:

काही सेवा HSTS वापरत असल्याने, मध्यम नेटवर्क संसाधने वापरण्यापूर्वी, तुम्ही मध्यम इंट्रानेट संसाधनांमधून डेटा हटवला पाहिजे. तुम्ही तुमच्या ब्राउझरच्या इतिहास टॅबमध्ये हे करू शकता.

ते आवश्यकही आहे नवीन प्रमाणपत्र स्थापित करा प्रमाणन केंद्र "मध्यम ग्लोबल रूट CA".

आपण सिस्टम ऑपरेटर असल्यास सर्वकाही कार्य करण्यासाठी काय करावे लागेल:

तुम्हाला पेजवर तुमच्या सेवेसाठी प्रमाणपत्र पुन्हा जारी करणे आवश्यक आहे pki.medium.isp (सेवा फक्त मध्यम नेटवर्कवर उपलब्ध आहे).

प्रत्येक घरासाठी सुरक्षा प्रमाणपत्रे - Yggdrasil नेटवर्कवर तुमची स्वतःची सेवा कशी तयार करावी आणि त्यासाठी वैध SSL प्रमाणपत्र कसे जारी करावे

मध्यम नेटवर्कवरील इंट्रानेट सेवांच्या संख्येत वाढ झाल्यामुळे, नवीन सुरक्षा प्रमाणपत्रे जारी करण्याची आणि त्यांच्या सेवा कॉन्फिगर करण्याची गरज वाढली आहे जेणेकरून ते SSL ला समर्थन देतील.

Habr एक तांत्रिक संसाधन असल्याने, प्रत्येक नवीन डायजेस्टमध्ये अजेंडा आयटमपैकी एक मध्यम नेटवर्क पायाभूत सुविधांची तांत्रिक वैशिष्ट्ये प्रकट करेल. उदाहरणार्थ, तुमच्या सेवेसाठी SSL प्रमाणपत्र जारी करण्यासाठी खाली सर्वसमावेशक सूचना आहेत.

उदाहरणे डोमेन नाव दर्शवतील domain.ygg, जे तुमच्या सेवेच्या डोमेन नावाने बदलले जाणे आवश्यक आहे.

चरण 1. खाजगी की आणि डिफी-हेलमन पॅरामीटर्स व्युत्पन्न करा

openssl genrsa -out domain.ygg.key 2048

नंतर:

openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

चरण 2. प्रमाणपत्र स्वाक्षरी विनंती तयार करा

openssl req -new -key domain.ygg.key -out domain.ygg.csr -config domain.ygg.conf

फाइल सामग्री domain.ygg.conf:

[ req ]
default_bits                = 2048
distinguished_name          = req_distinguished_name
x509_extensions             = v3_req

[ req_distinguished_name ]
countryName                 = Country Name (2 letter code)
countryName_default         = RU
stateOrProvinceName         = State or Province Name (full name)
stateOrProvinceName_default = Moscow Oblast
localityName                = Locality Name (eg, city)
localityName_default        = Kolomna
organizationName            = Organization Name (eg, company)
organizationName_default    = ACME, Inc.
commonName                  = Common Name (eg, YOUR name)
commonName_max              = 64
commonName_default          = *.domain.ygg

[ v3_req ]
subjectKeyIdentifier        = hash
keyUsage                    = critical, digitalSignature, keyEncipherment
extendedKeyUsage            = serverAuth
basicConstraints            = CA:FALSE
nsCertType                  = server
authorityKeyIdentifier      = keyid,issuer:always
crlDistributionPoints       = URI:http://crl.medium.isp/Medium_Global_Root_CA.crl
authorityInfoAccess         = OCSP;URI:http://ocsp.medium.isp

चरण 3. प्रमाणपत्र विनंती सबमिट करा

हे करण्यासाठी, फाइलमधील सामग्री कॉपी करा domain.ygg.csr आणि साइटवरील मजकूर फील्डमध्ये पेस्ट करा pki.medium.isp.

वेबसाइटवर दिलेल्या सूचनांचे अनुसरण करा, नंतर "सबमिट करा" वर क्लिक करा. यशस्वी झाल्यास, आपण निर्दिष्ट केलेल्या ईमेल पत्त्यावर एक संदेश पाठविला जाईल ज्यामध्ये मध्यवर्ती प्रमाणन प्राधिकरणाद्वारे स्वाक्षरी केलेल्या प्रमाणपत्राच्या स्वरूपात संलग्नक असेल.

चरण 4. तुमचा वेब सर्व्हर सेट करा

तुम्ही तुमचा वेब सर्व्हर म्हणून nginx वापरत असल्यास, खालील कॉन्फिगरेशन वापरा:

फाइल domain.ygg.conf निर्देशिकेत /etc/nginx/sites-available/

server {
    listen [::]:80;
    listen [::]:443 ssl;

    root /var/www/domain.ygg;
    index index.php index.html index.htm index.nginx-debian.html;

    server_name domain.ygg;

    include snippets/domain.ygg.conf;
    include snippets/ssl-params.conf;

    location = /favicon.ico { log_not_found off; access_log off; }
    location = /robots.txt { log_not_found off; access_log off; allow all; }
    location ~* .(css|gif|ico|jpeg|jpg|js|png)$ {
        expires max;
        log_not_found off;
    }

    location / {
        try_files $uri $uri/ /index.php$is_args$args;
    }

    location ~ .php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php7.0-fpm.sock;
    }

    location ~ /.ht {
        deny all;
    }
}

फाइल ssl-params.conf निर्देशिकेत /etc/nginx/snippets/

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH";
ssl_ecdh_curve secp384r1;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;

add_header Strict-Transport-Security "max-age=15552000; preload";
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;

ssl_dhparam /etc/ssl/certs/dhparam.pem;

फाइल domain.ygg.conf निर्देशिकेत /etc/nginx/snippets/

ssl_certificate /etc/ssl/certs/domain.ygg.crt;
ssl_certificate_key /etc/ssl/private/domain.ygg.key;

तुम्हाला ईमेलद्वारे प्राप्त झालेले प्रमाणपत्र येथे कॉपी करणे आवश्यक आहे: /etc/ssl/certs/domain.ygg.crt. खाजगी की (domain.ygg.key) एका निर्देशिकेत ठेवा /etc/ssl/private/.

चरण 5. तुमचा वेब सर्व्हर रीस्टार्ट करा

sudo service nginx restart

रशियामध्ये मोफत इंटरनेट तुमच्यापासून सुरू होते

आज रशियामध्ये विनामूल्य इंटरनेटच्या स्थापनेसाठी आपण सर्व शक्य सहाय्य प्रदान करू शकता. तुम्ही नेटवर्कला नेमकी कशी मदत करू शकता याची आम्ही एक सर्वसमावेशक सूची तयार केली आहे:

• तुमच्या मित्रांना आणि सहकार्यांना मध्यम नेटवर्कबद्दल सांगा. शेअर करा संदर्भ सोशल नेटवर्क्स किंवा वैयक्तिक ब्लॉगवरील या लेखासाठी
• मध्यम नेटवर्कवरील तांत्रिक समस्यांच्या चर्चेत भाग घ्या GitHub वर
• Yggdrasil नेटवर्कवर तुमची वेब सेवा तयार करा आणि त्यात जोडा मध्यम नेटवर्कचे DNS
• तुमचा वाढवा प्रवेश बिंदू मध्यम नेटवर्कवर

मागील प्रकाशन:

   मध्यम साप्ताहिक डायजेस्ट #1 (12 - 19 जुलै 2019)
   मध्यम साप्ताहिक डायजेस्ट #2 (19 - 26 जुलै 2019)
   मध्यम साप्ताहिक डायजेस्ट #3 (26 जुलै - 2 ऑगस्ट 2019)
   मध्यम साप्ताहिक डायजेस्ट #4 (2 - 9 ऑगस्ट 2019)

देखील वाचा:

विकेंद्रीकृत इंटरनेट प्रदाता माध्यमाबद्दल तुम्हाला जे काही जाणून घ्यायचे होते, परंतु विचारण्यास घाबरत होते
प्रिय, आम्ही इंटरनेट मारत आहोत
विकेंद्रीकृत इंटरनेट प्रदाता "मध्यम" - तीन महिन्यांनंतर

आम्ही टेलिग्रामवर आहोत: @medium_isp

केवळ नोंदणीकृत वापरकर्तेच सर्वेक्षणात भाग घेऊ शकतात. साइन इन करा, आपले स्वागत आहे.

पर्यायी मतदान: ज्यांचे Habré वर पूर्ण खाते नाही त्यांचे मत जाणून घेणे आपल्यासाठी महत्त्वाचे आहे.

• ↑

• ↓

7 वापरकर्त्यांनी मतदान केले. 2 वापरकर्ते दूर राहिले.

स्त्रोत: www.habr.com