{"id":33503,"date":"2019-10-31T21:52:58","date_gmt":"2019-10-31T18:52:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa\/"},"modified":"2019-10-31T21:52:58","modified_gmt":"2019-10-31T18:52:58","slug":"kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","title":{"rendered":"Jak DNSCrypt rozwi\u0105za\u0142 problem z przestarza\u0142ymi certyfikatami, wprowadzaj\u0105c 24-godzinny okres wa\u017cno\u015bci","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Jak
\n
\nWcze\u015bniej certyfikaty cz\u0119sto wygasa\u0142y, poniewa\u017c trzeba je by\u0142o odnawia\u0107 r\u0119cznie. Ludzie po prostu o tym zapominali. Pojawienie si\u0119 Let\u2019s Encrypt i automatycznej procedury aktualizacji mia\u0142o rozwi\u0105za\u0107 ten problem. Jednak niedawna historia z Firefoksem<\/a><\/noindex> pokazuje, \u017ce problem wci\u0105\u017c istnieje. Niestety, certyfikaty nadal wygasaj\u0105.<\/p>\n

Je\u015bli kto\u015b przegapi\u0142 t\u0119 histori\u0119, w p\u00f3\u0142noc 4 maja 2019 roku nagle przesta\u0142y dzia\u0142a\u0107 niemal wszystkie rozszerzenia Firefoxa.
\n<\/a><\/noindex>
\nJak si\u0119 okaza\u0142o, masowa awaria mia\u0142a miejsce z powodu wymagalno\u015bci certyfikatu , kt\u00f3ry by\u0142 u\u017cywany do podpisywania rozszerze\u0144. W zwi\u0105zku z tym by\u0142y one oznaczane jako \u201eniewa\u017cne\u201d i nie przechodzi\u0142y weryfikacji (<\/a><\/noindex>szczeg\u00f3\u0142y techniczne). Na forach jako obej\u015bcie sugerowano wy\u0142\u0105czenie weryfikacji podpis\u00f3w rozszerze\u0144 w<\/a><\/noindex>lub zmian\u0119 ustawienia zegara w systemie. about:config<\/i> Mozilla szybko wyda\u0142a poprawk\u0119 Firefox 66.0.4, kt\u00f3ra rozwi\u0105zuje problem z niewa\u017cnym certyfikatem, a wszystkie rozszerzenia wracaj\u0105 do normalno\u015bci. Programi\u015bci zalecaj\u0105 zainstalowanie tej poprawki i<\/p>\n

nie korzystanie z \u017cadnych obej\u015b\u0107 weryfikacji podpis\u00f3w, poniewa\u017c mog\u0105 one kolidowa\u0107 z poprawk\u0105.<\/a><\/noindex> Niemniej jednak, ta historia jeszcze raz pokazuje, \u017ce wygaszenie certyfikat\u00f3w pozostaje aktualnym problemem tak\u017ce dzisiaj.<\/p>\n

W zwi\u0105zku z tym warto spojrze\u0107 na do\u015b\u0107 oryginalny spos\u00f3b, w jaki problem ten rozwi\u0105zali tw\u00f3rcy protoko\u0142u<\/p>\n

DNSCrypt . Ich rozwi\u0105zanie mo\u017cna podzieli\u0107 na dwie cz\u0119\u015bci. Po pierwsze, s\u0105 to certyfikaty kr\u00f3tkoterminowe. Po drugie, ostrzeganie u\u017cytkownik\u00f3w o wyga\u015bni\u0119ciu certyfikat\u00f3w d\u0142ugoterminowych.<\/a><\/noindex>DNSCrypt to protok\u00f3\u0142 szyfruj\u0105cy ruchu DNS. Chroni komunikacj\u0119 DNS przed przechwyceniem i atakami typu MiTM, a tak\u017ce umo\u017cliwia obej\u015bcie blokad na poziomie zapyta\u0144 DNS.<\/p>\n

. Ich rozwi\u0105zanie mo\u017cna podzieli\u0107 na dwie cz\u0119\u015bci. Po pierwsze, s\u0105 to certyfikaty kr\u00f3tkoterminowe. Po drugie, ostrzeganie u\u017cytkownik\u00f3w o wyga\u015bni\u0119ciu certyfikat\u00f3w d\u0142ugoterminowych.<\/h1>\n

\n\"JakProtok\u00f3\u0142 kapsu\u0142kuje ruch DNS mi\u0119dzy klientem a serwerem w konstrukcj\u0119 kryptograficzn\u0105, korzystaj\u0105c z protoko\u0142\u00f3w transportowych UDP i TCP. Aby go u\u017cywa\u0107, zar\u00f3wno klient, jak i resolver DNS musz\u0105 wspiera\u0107 DNSCrypt. Na przyk\u0142ad od marca 2016 roku wprowadzi\u0142 go na swoich serwerach DNS oraz w przegl\u0105darkach \u201eYandex\u201d. Wsparcie og\u0142osili tak\u017ce inni dostawcy, w tym Google i Cloudflare. Niestety, nie jest ich zbyt wielu (na oficjalnej stronie wymieniono 152 publiczne serwery DNS). Ale program<\/p>\n

dnscrypt-proxy dnscrypt-proxy<\/a><\/noindex> mo\u017cna zainstalowa\u0107 r\u0119cznie na klientach dzia\u0142aj\u0105cych na Linuxie, Windowsie i MacOS. Istniej\u0105 te\u017c implementacje serwerowe<\/a><\/noindex>.<\/p>\n

\"Jak
\n
\nJak dzia\u0142a DNSCrypt? Kr\u00f3tko m\u00f3wi\u0105c, klient bierze publiczny klucz wybranego dostawcy i za jego pomoc\u0105 weryfikuje jego certyfikaty. Znajduj\u0105 si\u0119 tam kr\u00f3tkoterminowe publiczne klucze do sesji oraz identyfikator zestawu szyfr\u00f3w. Klientom zaleca si\u0119 generowanie nowego klucza dla ka\u017cdego zapytania, a serwerom \u2013 zmian\u0119 kluczy co 24 godziny<\/b>. Przy wymianie kluczy stosuje si\u0119 algorytm X25519, do podpisu \u2013 EdDSA, do szyfrowania blokowego \u2013 XSalsa20-Poly1305 lub XChaCha20-Poly1305.<\/p>\n

Jednym z tw\u00f3rc\u00f3w protoko\u0142u jest Frank Denis pisze<\/a><\/noindex>, kt\u00f3ry stwierdzi\u0142, \u017ce automatyczna zmiana co 24 godziny rozwi\u0105za\u0142a problem przestarza\u0142ych certyfikat\u00f3w. W zasadzie, referencyjny klient dnscrypt-proxy akceptuje certyfikaty o dowolnym czasie wa\u017cno\u015bci, ale wy\u015bwietla ostrze\u017cenie \"Okres wa\u017cno\u015bci kluczy dnscrypt-proxy dla tego serwera jest zbyt d\u0142ugi\", je\u015bli jest wa\u017cny d\u0142u\u017cej ni\u017c 24 godziny. Jednocze\u015bnie wydano obraz Docker, w kt\u00f3rym zaimplementowano szybk\u0105 zmian\u0119 kluczy (i certyfikat\u00f3w).<\/p>\n

Po pierwsze, jest to niezwykle przydatne dla bezpiecze\u0144stwa: je\u015bli serwer zostanie skompromitowany lub klucz wyciek\u0142, to wczorajszy ruch nie mo\u017ce by\u0107 odszyfrowany. Klucz ju\u017c si\u0119 zmieni\u0142. Mo\u017ce to stanowi\u0107 problem dla realizacji \"ustawy Jarowej\", kt\u00f3ra zmusza dostawc\u00f3w do przechowywania ca\u0142ego ruchu, w tym szyfrowanego. Zak\u0142ada si\u0119, \u017ce p\u00f3\u017aniej mo\u017cna go b\u0119dzie odszyfrowa\u0107 w razie potrzeby, \u017c\u0105daj\u0105c klucza od strony. Ale w tym przypadku strona po prostu nie b\u0119dzie mog\u0142a go dostarczy\u0107, poniewa\u017c u\u017cywa kr\u00f3tkoterminowych kluczy, usuwaj\u0105c stare.<\/p>\n

Ale g\u0142\u00f3wnym zdaniem, pisze Denis, kr\u00f3tkoterminowe klucze zmuszaj\u0105 serwery od pierwszego dnia do skonfigurowania automatyzacji. Je\u015bli serwer \u0142\u0105czy si\u0119 z sieci\u0105, a skrypty zmiany kluczy nie s\u0105 skonfigurowane lub nie dzia\u0142aj\u0105, to zostanie to natychmiast wykryte.<\/p>\n

Kiedy automatyzacja zmienia klucze co kilka lat, nie mo\u017cna na niej polega\u0107, a ludzie mog\u0105 zapomnie\u0107 o up\u0142ywie terminu wa\u017cno\u015bci certyfikatu. Przy codziennej zmianie kluczy b\u0119dzie to wykryte natychmiast.<\/p>\n

Jednak\u017ce, je\u015bli automatyzacja jest prawid\u0142owo skonfigurowana, to nie ma znaczenia, jak cz\u0119sto zmienia si\u0119 klucze: co roku, co kwarta\u0142 lub trzy razy dziennie. Je\u015bli wszystko dzia\u0142a przez ponad 24 godziny, to b\u0119dzie dzia\u0142a\u0107 wiecznie, pisze Frank Denis. Jego zdaniem, zalecenie codziennej zmiany kluczy w drugiej wersji protoko\u0142u wraz z gotowym obrazem Dockera, kt\u00f3ry to realizuje, skutecznie zmniejszy\u0142o liczb\u0119 serwer\u00f3w z wygas\u0142ymi certyfikatami, jednocze\u015bnie poprawiaj\u0105c bezpiecze\u0144stwo.<\/p>\n

Jednak niekt\u00f3rzy dostawcy zdecydowali si\u0119 z jakich\u015b wzgl\u0119d\u00f3w technicznych ustali\u0107 termin wa\u017cno\u015bci certyfikatu na d\u0142u\u017cej ni\u017c 24 godziny. Problem ten w du\u017cej mierze rozwi\u0105zano przy pomocy kilku linii kodu w dnscrypt-proxy: u\u017cytkownicy otrzymuj\u0105 powiadomienie informacyjne na 30 dni przed wyga\u015bni\u0119ciem certyfikatu, inne powiadomienie o wy\u017cszym poziomie pilno\u015bci na 7 dni przed wyga\u015bni\u0119ciem oraz krytyczne powiadomienie, je\u015bli pozosta\u0142o mniej ni\u017c 24 godziny. Dotyczy to tylko certyfikat\u00f3w, kt\u00f3re pocz\u0105tkowo mia\u0142y d\u0142ugi okres wa\u017cno\u015bci.<\/p>\n

Takie powiadomienia daj\u0105 u\u017cytkownikom mo\u017cliwo\u015b\u0107 poinformowania operator\u00f3w DNS o zbli\u017caj\u0105cym si\u0119 wyga\u015bni\u0119ciu certyfikatu, zanim b\u0119dzie za p\u00f3\u017ano. <\/p>\n

Mo\u017cliwe, \u017ce gdyby wszyscy u\u017cytkownicy Firefox otrzymali takie powiadomienie, to na pewno kto\u015b poinformowa\u0142by programist\u00f3w i zapobieg\u0142by wyga\u015bni\u0119ciu certyfikatu. \"Nie pami\u0119tam \u017cadnego serwera DNSCrypt z listy publicznych serwer\u00f3w DNS, kt\u00f3ry mia\u0142by wygas\u0142y certyfikat w ci\u0105gu ostatnich dw\u00f3ch lub trzech lat\" \u2014 pisze Frank Denis. W ka\u017cdym razie, chyba lepiej najpierw ostrzec u\u017cytkownik\u00f3w, ni\u017c deaktywowa\u0107 rozszerzenia bez uprzedzenia.<\/p>\n

\n\"Jak
\n<\/a><\/noindex>
\n
\u0179r\u00f3d\u0142o: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25203,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Jak DNSCrypt rozwi\u0105za\u0142 problem wygas\u0142ych certyfikat\u00f3w, wprowadzaj\u0105c 24-godzinny termin wa\u017cno\u015bci | ProHoster","description":"Dawniej.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a DNSCrypt \u0440\u0435\u0448\u0438\u043b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043f\u0440\u043e\u0441\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u0432\u0432\u0435\u0434\u044f \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f 24 \u0447\u0430\u0441\u0430 | ProHoster","og:description":"\u0420\u0430\u043d\u044c\u0448\u0435.","og:url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:52:58+00:00","article:modified_time":"2019-10-31T18:52:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33503","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:31:39","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:31:39","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/33503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=33503"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/33503\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/25203"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=33503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=33503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=33503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}