विगतमा, प्रमाणपत्रहरू प्रायः म्याद सकिन्छ किनभने तिनीहरू म्यानुअल रूपमा नवीकरण गर्नुपर्थ्यो। मानिसहरूले यो गर्न मात्र बिर्से। Let's Encrypt र स्वचालित अद्यावधिक प्रक्रिया को आगमन संग, यो समस्या समाधान हुनुपर्छ जस्तो देखिन्छ। तर भर्खरै फायरफक्स कथा यो वास्तवमा अझै पनि सान्दर्भिक छ भनेर देखाउँछ। दुर्भाग्यवश, प्रमाणपत्रहरूको म्याद समाप्त हुन जारी छ।

यदि तपाईंले कथा छुटाउनुभयो भने, मे 4, 2019 को मध्यरातमा, लगभग सबै फायरफक्स विस्तारहरू अचानक काम गर्न बन्द भयो।

यो बाहिर गएको रूपमा, मोजिलाको कारणले ठूलो विफलता भयो प्रमाणपत्रको म्याद सकिएको छ, जुन विस्तारमा हस्ताक्षर गर्न प्रयोग भएको थियो। त्यसकारण, तिनीहरू "अमान्य" भनी चिन्ह लगाइएका थिए र प्रमाणित भएनन् (प्राविधिक विवरण)। फोरमहरूमा, एक समाधानको रूपमा, यसलाई विस्तार हस्ताक्षर प्रमाणिकरण असक्षम गर्न सिफारिस गरिएको थियो। बारेमा: कन्फिगर गर्नुहोस् वा प्रणाली घडी परिवर्तन।

मोजिलाले तुरुन्तै फायरफक्स 66.0.4 प्याच जारी गर्‍यो, जसले अवैध प्रमाणपत्रको साथ समस्या समाधान गर्छ, र सबै विस्तारहरू सामान्यमा फर्किन्छन्। विकासकर्ताहरूले यसलाई स्थापना गर्न सिफारिस गर्छन् र प्रयोग नगर हस्ताक्षर प्रमाणिकरण बाइपास गर्न को लागी कुनै समाधान छैन किनभने तिनीहरू प्याच संग द्वन्द्व हुन सक्छ।

जे होस्, यो कथाले फेरि एक पटक प्रमाणपत्रको म्याद समाप्ति आज एक दबाब मुद्दा बनेको देखाउँछ।

यस सन्दर्भमा, प्रोटोकल विकासकर्ताहरूले यस कार्यसँग कसरी व्यवहार गरे भन्ने कुराको मूल तरिका हेर्नको लागि यो रोचक छ। DNSCrypt। तिनीहरूको समाधान दुई भागमा विभाजन गर्न सकिन्छ। पहिलो, यी छोटो अवधिका प्रमाणपत्रहरू हुन्। दोस्रो, प्रयोगकर्ताहरूलाई लामो अवधिको म्याद सकिने बारे चेतावनी दिनुहोस्।

DNSCrypt

DNSCrypt एक DNS ट्राफिक ईन्क्रिप्शन प्रोटोकल हो। यसले DNS संचारहरूलाई अवरोधहरू र MiTM बाट जोगाउँछ, र तपाईंलाई DNS क्वेरी स्तरमा ब्लकिङलाई बाइपास गर्न अनुमति दिन्छ।

प्रोटोकलले ग्राहक र सर्भर बीचको DNS ट्राफिकलाई क्रिप्टोग्राफिक कन्स्ट्रक्टमा र्‍याप गर्छ, UDP र TCP यातायात प्रोटोकलहरूमा सञ्चालन हुन्छ। यसलाई प्रयोग गर्न, दुबै ग्राहक र DNS समाधानकर्ताले DNSCrypt समर्थन गर्नुपर्छ। उदाहरण को लागी, मार्च 2016 देखि, यो यसको DNS सर्भर र Yandex ब्राउजर मा सक्षम गरिएको छ। धेरै अन्य प्रदायकहरूले पनि समर्थन घोषणा गरेका छन्, Google र Cloudflare सहित। दुर्भाग्यवश, तिनीहरूमध्ये धेरै छैनन् (१५२ सार्वजनिक DNS सर्भरहरू आधिकारिक वेबसाइटमा सूचीबद्ध छन्)। तर कार्यक्रम dnscrypt-proxy लिनक्स, विन्डोज र MacOS क्लाइन्टहरूमा म्यानुअल रूपमा स्थापना गर्न सकिन्छ। पनि छन् सर्भर कार्यान्वयन.

DNSCrypt कसरी काम गर्छ? छोटकरीमा, ग्राहकले चयन गरिएको प्रदायकको सार्वजनिक कुञ्जी लिन्छ र यसको प्रमाणपत्रहरू प्रमाणित गर्न प्रयोग गर्दछ। सत्रका लागि छोटो-अवधि सार्वजनिक कुञ्जीहरू र साइफर सुइट पहिचानकर्ता पहिले नै त्यहाँ छन्। ग्राहकहरूलाई प्रत्येक अनुरोधको लागि नयाँ कुञ्जी उत्पन्न गर्न प्रोत्साहित गरिन्छ, र सर्भरहरूलाई कुञ्जीहरू परिवर्तन गर्न प्रोत्साहित गरिन्छ प्रत्येक 24 घण्टा। कुञ्जीहरू आदानप्रदान गर्दा, X25519 एल्गोरिदम प्रयोग गरिन्छ, हस्ताक्षर गर्नको लागि - EdDSA, ब्लक इन्क्रिप्सनको लागि - XSalsa20-Poly1305 वा XChaCha20-Poly1305।

एक प्रोटोकल विकासकर्ता फ्रैंक डेनिस तिनी लेख्छन्प्रत्येक 24 घण्टामा स्वचालित प्रतिस्थापनले म्याद समाप्त प्रमाणपत्रहरूको समस्या समाधान गर्यो। सिद्धान्तमा, dnscrypt-proxy सन्दर्भ ग्राहकले कुनै पनि वैधता अवधिको साथ प्रमाणपत्रहरू स्वीकार गर्दछ, तर चेतावनी जारी गर्दछ "यस सर्भरको लागि dnscrypt-प्रोक्सी कुञ्जी अवधि धेरै लामो छ" यदि यो 24 घण्टा भन्दा बढीको लागि मान्य छ। एकै समयमा, एक डकर छवि जारी गरिएको थियो, जसमा कुञ्जीहरू (र प्रमाणपत्रहरू) को द्रुत परिवर्तन लागू गरिएको थियो।

पहिलो, यो सुरक्षाको लागि अत्यन्त उपयोगी छ: यदि सर्भर सम्झौता गरिएको छ वा कुञ्जी लीक भएको छ भने, हिजोको ट्राफिक डिक्रिप्ट गर्न सकिँदैन। कुञ्जी पहिले नै परिवर्तन भएको छ। यसले सम्भवतः यारोवाया कानूनको कार्यान्वयनको लागि समस्या खडा गर्नेछ, जसले प्रदायकहरूलाई इन्क्रिप्टेड ट्राफिक सहित सबै ट्राफिकहरू भण्डारण गर्न बाध्य पार्छ। निहितार्थ यो हो कि साइटबाट कुञ्जी अनुरोध गरेर आवश्यक भएमा यसलाई पछि डिक्रिप्ट गर्न सकिन्छ। तर यस अवस्थामा, साइटले मात्र यसलाई प्रदान गर्न सक्दैन, किनभने यसले छोटो-अवधि कुञ्जीहरू प्रयोग गर्दछ, पुरानाहरू मेटाउँदै।

तर सबैभन्दा महत्त्वपूर्ण कुरा, डेनिसले लेखे, छोटो-अवधि कुञ्जीहरूले सर्भरहरूलाई पहिलो दिनबाट स्वचालन सेटअप गर्न बाध्य पार्छ। यदि सर्भर नेटवर्कमा जडान हुन्छ र कुञ्जी परिवर्तन स्क्रिप्टहरू कन्फिगर गरिएको छैन वा काम गरिरहेको छैन भने, यो तुरुन्तै पत्ता लगाइनेछ।

जब स्वचालनले प्रत्येक केही वर्षमा कुञ्जीहरू परिवर्तन गर्छ, त्यसमा भर पर्न सकिँदैन, र मानिसहरूले प्रमाणपत्रको म्याद समाप्त भएको बारे बिर्सन सक्छन्। यदि तपाइँ दैनिक कुञ्जीहरू परिवर्तन गर्नुहुन्छ भने, यो तुरुन्तै पत्ता लगाइनेछ।

एकै समयमा, यदि स्वचालन सामान्य रूपमा कन्फिगर गरिएको छ, त्यसपछि कुञ्जीहरू कति पटक परिवर्तन हुन्छन् भन्ने कुराले फरक पार्दैन: प्रत्येक वर्ष, प्रत्येक चौथाई वा दिनको तीन पटक। यदि सबै कुरा 24 घण्टा भन्दा बढि काम गर्छ भने, यो सधैंभरि काम गर्नेछ, फ्रान्क डेनिस लेख्छन्। उनका अनुसार, प्रोटोकलको दोस्रो संस्करणमा दैनिक कुञ्जी रोटेशनको सिफारिस, यसलाई कार्यान्वयन गर्ने तयारी डकर छविको साथ, प्रभावकारी रूपमा म्याद सकिएका प्रमाणपत्रहरू भएका सर्भरहरूको संख्या घटाएको छ, जबकि एकै साथ सुरक्षामा सुधार भएको छ।

यद्यपि, केही प्रदायकहरूले अझै पनि केही प्राविधिक कारणहरूले प्रमाणपत्र वैधता अवधि 24 घण्टा भन्दा बढीमा सेट गर्ने निर्णय गरे। यो समस्या धेरै हदसम्म dnscrypt-proxy मा कोडका केही लाइनहरूद्वारा हल गरिएको थियो: प्रयोगकर्ताहरूले प्रमाणपत्रको म्याद समाप्त हुनुभन्दा 30 दिन अघि सूचनात्मक चेतावनी, म्याद समाप्त हुनुभन्दा 7 दिन अघि उच्च गम्भीरता स्तर भएको अर्को सन्देश, र प्रमाणपत्रमा कुनै बाँकी छ भने एक महत्वपूर्ण सन्देश। वैधता। 24 घण्टा भन्दा कम। यो प्रारम्भमा लामो वैधता अवधि भएका प्रमाणपत्रहरूमा मात्र लागू हुन्छ।

यी सन्देशहरूले प्रयोगकर्ताहरूलाई धेरै ढिलो हुनु अघि DNS अपरेटरहरूलाई आसन्न प्रमाणपत्रको म्याद सकिने बारे सूचित गर्ने मौका दिन्छ।

हुनसक्छ यदि सबै फायरफक्स प्रयोगकर्ताहरूले यस्तो सन्देश प्राप्त गरे, तब कसैले सम्भवतः विकासकर्ताहरूलाई सूचित गर्नेछ र उनीहरूले प्रमाणपत्रको म्याद सकिने अनुमति दिने छैनन्। "मलाई सार्वजनिक DNS सर्भरहरूको सूचीमा एकल DNSCrypt सर्भर याद छैन जसको प्रमाणपत्र पछिल्लो दुई वा तीन वर्षमा समाप्त भएको छ," फ्रान्क डेनिस लेख्छन्। कुनै पनि अवस्थामा, चेतावनी बिना विस्तारहरू असक्षम गर्नु भन्दा पहिले प्रयोगकर्ताहरूलाई चेतावनी दिनु राम्रो हुन्छ।

स्रोत: www.habr.com