आम्ही TLS 1.3 सक्षम केले आहे. आपण तेच का करावे

वर्षाच्या सुरुवातीला, 2018-2019 साठी इंटरनेट समस्या आणि प्रवेशयोग्यता यावरील अहवालात आम्ही आधीच लिहिले आहेकी TLS 1.3 चा प्रसार अपरिहार्य आहे. काही काळापूर्वी, आम्ही स्वतः ट्रान्सपोर्ट लेयर सिक्युरिटी प्रोटोकॉलची आवृत्ती 1.3 उपयोजित केली होती आणि, डेटा गोळा आणि विश्लेषण केल्यानंतर, आम्ही शेवटी या संक्रमणाच्या वैशिष्ट्यांबद्दल बोलण्यास तयार आहोत.

IETF TLS वर्किंग ग्रुप चेअर्स ते लिहितात:
"थोडक्यात, TLS 1.3 ने पुढील 20 वर्षांसाठी अधिक सुरक्षित आणि कार्यक्षम इंटरनेटचा पाया प्रदान केला पाहिजे."

विकास टीएलएस 1.3 10 दीर्घ वर्षे लागली. आम्ही Qrator लॅब्समध्ये, उर्वरित उद्योगांसह, सुरुवातीच्या मसुद्यापासून प्रोटोकॉल निर्मिती प्रक्रियेचे बारकाईने पालन केले आहे. या काळात, 28 मध्ये संतुलित आणि सहजपणे उपयोजित प्रोटोकॉलचा प्रकाश पाहण्यासाठी मसुद्याच्या सलग 2019 आवृत्त्या लिहिणे आवश्यक होते. TLS 1.3 साठी सक्रिय बाजार समर्थन आधीच स्पष्ट आहे: सिद्ध आणि विश्वासार्ह सुरक्षा प्रोटोकॉलची अंमलबजावणी काळाच्या गरजा पूर्ण करते.

एरिक रेस्कोर्ला (Firefox CTO आणि TLS 1.3 चे एकमेव लेखक) यांच्या मते द रजिस्टरला दिलेल्या मुलाखतीत:

"हे समान की आणि प्रमाणपत्रे वापरून TLS 1.2 साठी संपूर्ण बदली आहे, त्यामुळे क्लायंट आणि सर्व्हर आपोआप TLS 1.3 वर संप्रेषण करू शकतात जर ते दोघेही त्यास समर्थन देत असतील," तो म्हणाला. "लायब्ररी स्तरावर आधीपासूनच चांगला सपोर्ट आहे आणि Chrome आणि Firefox डीफॉल्टनुसार TLS 1.3 सक्षम करतात."

समांतर, TLS IETF वर्किंग ग्रुपमध्ये समाप्त होत आहे RFC तयारी, TLS च्या जुन्या आवृत्त्या (केवळ TLS 1.2 वगळून) अप्रचलित आणि निरुपयोगी घोषित करणे. बहुधा, अंतिम RFC उन्हाळ्याच्या समाप्तीपूर्वी सोडले जाईल. हे आयटी उद्योगासाठी आणखी एक सिग्नल आहे: एनक्रिप्शन प्रोटोकॉल अद्यतनित करण्यास विलंब होऊ नये.

सध्याच्या TLS 1.3 अंमलबजावणीची सूची सर्वात योग्य लायब्ररी शोधत असलेल्या प्रत्येकासाठी Github वर उपलब्ध आहे: https://github.com/tlswg/tls13-spec/wiki/Implementations. हे स्पष्ट आहे की अद्ययावत प्रोटोकॉलसाठी दत्तक घेणे आणि समर्थन करणे - आणि आधीच - वेगाने प्रगती करत आहे. आधुनिक जगात मूलभूत एन्क्रिप्शन कसे बनले आहे हे समजून घेणे मोठ्या प्रमाणावर पसरले आहे.

TLS 1.2 पासून काय बदलले आहे?

इझ इंटरनेट सोसायटी नोट्स:
“TLS 1.3 जगाला एक चांगले स्थान कसे बनवते?

TLS 1.3 मध्ये काही तांत्रिक फायदे समाविष्ट आहेत—जसे की सुरक्षित कनेक्शन स्थापित करण्यासाठी सुलभ हँडशेक प्रक्रिया—आणि क्लायंटला सर्व्हरसह अधिक जलद सत्रे पुन्हा सुरू करण्याची अनुमती देते. हे उपाय कनेक्शन सेटअप लेटन्सी आणि कमकुवत लिंक्सवरील कनेक्शन अपयश कमी करण्याच्या उद्देशाने आहेत, जे सहसा फक्त अनएनक्रिप्टेड HTTP कनेक्शन प्रदान करण्यासाठी समर्थन म्हणून वापरले जातात.

तितकेच महत्त्वाचे म्हणजे, ते SHA-1, MD5, DES, 3DES, आणि AES-CBC सह TLS च्या पूर्वीच्या आवृत्त्यांसह वापरण्यासाठी अद्याप अनुमती असलेल्या (जरी शिफारस केलेली नसली तरी) अनेक वारसा आणि असुरक्षित एन्क्रिप्शन आणि हॅशिंग अल्गोरिदमचे समर्थन काढून टाकते. नवीन सायफर सूटसाठी समर्थन जोडत आहे. इतर सुधारणांमध्ये हँडशेकचे अधिक एन्क्रिप्ट केलेले घटक समाविष्ट आहेत (उदाहरणार्थ, प्रमाणपत्र माहितीची देवाणघेवाण आता एन्क्रिप्ट केली आहे) संभाव्य ट्रॅफिक इव्हस्ड्रॉपरला क्लूचे प्रमाण कमी करण्यासाठी, तसेच काही की एक्सचेंज मोड वापरताना गुप्तता फॉरवर्ड करण्यासाठी सुधारणा जेणेकरुन संवाद साधता येईल. भविष्यात कूटबद्ध करण्यासाठी वापरल्या जाणार्‍या अल्गोरिदमशी तडजोड केली असली तरीही नेहमीच सुरक्षित राहिले पाहिजे.”

आधुनिक प्रोटोकॉल आणि डीडीओएसचा विकास

प्रोटोकॉलच्या विकासादरम्यान, आपण आधीच वाचले असेल आणि नंतरही, IETF TLS कार्यरत गटामध्ये गंभीर विरोधाभास निर्माण झाले. आता हे स्पष्ट झाले आहे की वैयक्तिक उद्योगांना (वित्तीय संस्थांसह) प्रोटोकॉलमध्ये समाविष्ट करण्यासाठी त्यांचे स्वतःचे नेटवर्क सुरक्षित करण्याचा मार्ग बदलावा लागेल. परिपूर्ण फॉरवर्ड गुप्तता.

याची आवश्यकता का असू शकते याची कारणे दस्तऐवजात नमूद केली आहेत, स्टीव्ह फेंटर यांनी लिहिलेले. 20-पानांच्या पेपरमध्ये अनेक उदाहरणे नमूद केली आहेत जिथे एखादे एंटरप्राइझ मॉनिटरिंग, अनुपालन किंवा ऍप्लिकेशन लेयर (L7) DDoS संरक्षण हेतूंसाठी आउट-ऑफ-बँड रहदारी (ज्याला PFS परवानगी देत ​​नाही) डिक्रिप्ट करू इच्छित असेल.

आम्ही नियामक आवश्यकतांवर अंदाज लावण्यासाठी निश्चितपणे तयार नसलो तरी आमचे मालकी अर्ज DDoS शमन उत्पादन (समाधानासह प्रकटीकरण आवश्यक नाही संवेदनशील आणि/किंवा गोपनीय माहिती) 2012 मध्ये PFS विचारात घेऊन तयार करण्यात आली होती, त्यामुळे आमच्या क्लायंट आणि भागीदारांना सर्व्हरच्या बाजूला TLS आवृत्ती अद्यतनित केल्यानंतर त्यांच्या पायाभूत सुविधांमध्ये कोणतेही बदल करण्याची आवश्यकता नव्हती.

तसेच, अंमलबजावणी झाल्यापासून, वाहतूक एन्क्रिप्शनशी संबंधित कोणत्याही समस्या ओळखल्या गेल्या नाहीत. हे अधिकृत आहे: TLS 1.3 उत्पादनासाठी तयार आहे.

तथापि, पुढील पिढीच्या प्रोटोकॉलच्या विकासाशी संबंधित समस्या अजूनही आहे. समस्या अशी आहे की IETF मधील प्रोटोकॉल प्रगती सामान्यत: शैक्षणिक संशोधनावर अवलंबून असते आणि वितरित नकार-ऑफ-सेवा हल्ल्यांना कमी करण्याच्या क्षेत्रातील शैक्षणिक संशोधनाची स्थिती निराशाजनक आहे.

तर, एक चांगले उदाहरण असेल कलम 4.4 IETF मसुदा "QUIC मॅनेजेबिलिटी", आगामी QUIC प्रोटोकॉल सूटचा भाग, असे नमूद करतो की "[DDoS हल्ले] शोधण्यासाठी आणि कमी करण्याच्या आधुनिक पद्धतींमध्ये नेटवर्क प्रवाह डेटा वापरून निष्क्रिय मापन समाविष्ट आहे."

नंतरचे, खरेतर, वास्तविक एंटरप्राइझ वातावरणात (आणि केवळ अंशतः ISP ला लागू) अत्यंत दुर्मिळ आहे आणि कोणत्याही परिस्थितीत वास्तविक जगात "सामान्य केस" असण्याची शक्यता नाही - परंतु वैज्ञानिक प्रकाशनांमध्ये ते सतत दिसून येते, सहसा समर्थित नसते ऍप्लिकेशन स्तरावरील हल्ल्यांसह संभाव्य DDoS हल्ल्यांच्या संपूर्ण स्पेक्ट्रमची चाचणी करून. नंतरचे, TLS च्या किमान जगभरात तैनातीमुळे, नेटवर्क पॅकेट्स आणि प्रवाहांच्या निष्क्रिय मापनाद्वारे स्पष्टपणे शोधले जाऊ शकत नाही.

त्याचप्रमाणे, आम्हाला अद्याप माहित नाही की DDoS शमन हार्डवेअर विक्रेते TLS 1.3 च्या वास्तविकतेशी कसे जुळवून घेतील. आउट-ऑफ-बँड प्रोटोकॉलला समर्थन देण्याच्या तांत्रिक जटिलतेमुळे, अपग्रेडला काही वेळ लागू शकतो.

संशोधनाचे मार्गदर्शन करण्यासाठी योग्य उद्दिष्टे निश्चित करणे हे DDoS शमन सेवा प्रदात्यांसाठी एक मोठे आव्हान आहे. एक क्षेत्र जेथे विकास सुरू होऊ शकतो SMART संशोधन गट IRTF मध्ये, जिथे संशोधक आव्हानात्मक उद्योगाबद्दलचे त्यांचे स्वतःचे ज्ञान सुधारण्यासाठी आणि संशोधनाचे नवीन मार्ग शोधण्यासाठी उद्योगाशी सहयोग करू शकतात. आम्ही सर्व संशोधकांचे हार्दिक स्वागत करतो, जर काही असेल तर - आमच्याशी DDoS संशोधन किंवा SMART संशोधन गटाशी संबंधित प्रश्न किंवा सूचनांसाठी येथे संपर्क साधला जाऊ शकतो. [ईमेल संरक्षित]

स्त्रोत: www.habr.com