نوټ ژباړن: د لوستونکو د اسانتیا لپاره، نیټه د مسکو په وخت کې ورکړل شوې ده
موږ پدې وروستیو کې د اضافې لاسلیک کولو لپاره کارول شوي یو سند پای ته رسیدو له لاسه ورکړ. دا په پایله کې د کاروونکو لپاره اضافه شوي غیر فعال شوي. اوس چې ستونزه تر ډیره حده حل شوې، زه غواړم د هغه څه په اړه جزئیات شریک کړم چې څه پیښ شوي او کوم کار چې ترسره شوی.
پس منظر: اضافه کول او لاسلیکونه
نصب شوي اضافو باید ولري ډیجیټل لاسلیک، کوم چې کاروونکي له ناوړه اضافو څخه ساتي او د موزیلا کارمندانو لخوا د اضافې لږترلږه بیاکتنې ته اړتیا لري. موږ دا اړتیا په 2015 کې معرفي کړه ځکه چې موږ تجربه کوو جدي ستونزې د ناوړه اضافو سره.
دا څنګه کار کوي: د فایرفوکس هره کاپي د "روټ سند" لري. د دې "ریښې" کیلي په کې زیرمه شوې د هارډویر امنیت ماډل (HSM)د شبکې لاسرسي پرته. هر څو کاله، یو نوی "منځنی سند" د دې کیلي سره لاسلیک کیږي، کوم چې د اضافو لاسلیک کولو پر مهال کارول کیږي. کله چې یو پرمخ وړونکی اضافه وسپاري، موږ یو لنډمهاله "پای سند" رامینځته کوو او د منځګړیتوب سند په کارولو سره یې لاسلیک کوو. اضافه پخپله بیا د وروستي سند سره لاسلیک کیږي. په سکیماتیک ډول دا داسې ښکاري.
مهرباني وکړئ په یاد ولرئ چې هر سند یو "موضوع" لري (چا ته سند صادر شوی) او یو "جاری کونکی" (چا چې سند صادر کړی). د روټ سند په صورت کې، "موضوع" = "جاری کونکی"، مګر د نورو سندونو لپاره، د سند جاري کوونکی د اصلي سند موضوع ده چې له خوا یې لاسلیک کیږي.
یو مهم ټکی: هر اضافه د یو ځانګړي پای سند لخوا لاسلیک کیږي ، مګر نږدې تل دا پای سندونه د ورته منځګړی سند لخوا لاسلیک کیږي.
د لیکوال یادونه: استثنا خورا زاړه اضافه ده. په هغه وخت کې، مختلف منځګړیتوب سندونه کارول کیده.
دا منځګړی سند د ستونزو لامل شوی: هر سند د یوې ټاکلې مودې لپاره اعتبار لري. د دې مودې دمخه یا وروسته، سند ناباوره دی او براوزر به د دې سند لخوا لاسلیک شوي اضافې ونه کاروي. له بده مرغه، د منځمهاله سند موده د می په 4 د سهار په 4 بجو پای ته ورسیده.
پایلې سمدستي څرګندې نه شوې. فایرفوکس په دوامداره توګه د نصب شوي اضافو لاسلیکونه نه ګوري ، مګر نږدې په هرو 24 ساعتونو کې یو ځل ، او د تصدیق وخت د هر کارونکي لپاره انفرادي دی. د پایلې په توګه، ځینې خلک سمدلاسه ستونزې تجربه کړې، پداسې حال کې چې نور ډیر وروسته ستونزې تجربه کوي. موږ لومړی د سند پای ته رسیدو په شاوخوا کې د ستونزې څخه خبر شو او سمدلاسه د حل په لټه کې شو.
د زیانونو کمول
کله چې موږ پوه شو چې څه پیښ شوي، موږ هڅه وکړه چې د وضعیت د خرابیدو مخه ونیسو.
لومړی، دوی د نوي اضافو منلو او لاسلیک کولو مخه ونیوله. د دې لپاره د ختم شوي سند کارولو لپاره هیڅ معنی نشته. شاته وګورم، زه به ووایم چې موږ کولی شو هر څه پریږدو لکه څنګه چې وو. موږ اوس د ضمیمو منل بیا پیل کړي دي.
دوهم، دوی سمدلاسه یو فکس واستاوه چې هره ورځ د لاسلیکونو د کتلو مخه نیسي. په دې توګه، موږ هغه کاروونکي خوندي کړل چې براوزر یې لا تر اوسه په تیرو XNUMX ساعتونو کې د اضافو چک کولو وخت نه درلود. دا اصلاح اوس بیرته اخیستل شوی او نور اړتیا نلري.
موازي عملیات
په تیوري کې، د ستونزې حل ساده ښکاري: یو نوی معتبر منځګړیتوب سند جوړ کړئ او هر اضافه بیا لاسلیک کړئ. له بده مرغه دا به کار ونکړي:
- موږ نشو کولی ژر تر ژره 15 زره اضافې په یوځل لاسلیک کړو، سیسټم د داسې بار لپاره ډیزاین شوی نه دی
- وروسته له دې چې موږ اضافې لاسلیک کړو، تازه شوي نسخې باید کاروونکو ته وسپارل شي. ډیری اضافې د موزیلا سرورونو څخه نصب شوي ، نو فایرفوکس به په راتلونکو XNUMX ساعتونو کې تازه معلومات ومومي ، مګر ځینې پراختیا کونکي د دریمې ډلې چینلونو له لارې لاسلیک شوي ایډونه توزیع کوي ، نو کارونکي باید دا ډول اضافې په لاسي ډول تازه کړي.
پرځای یې، موږ هڅه وکړه چې یو داسې حل رامینځته کړو چې ټولو کاروونکو ته ورسیږي پرته لدې چې د دوی په برخه کې ډیر یا هیڅ عمل ته اړتیا ولري.
په چټکۍ سره موږ دوه اصلي ستراتیژیو ته ورسیدو، کوم چې موږ په موازي توګه کاروو:
- د سند د اعتبار موده بدلولو لپاره فایرفوکس تازه کړئ. دا به موجوده اډونونه په جادویی ډول بیا کار وکړي ، مګر د فایرفاکس نوي جوړونې خوشې کولو او لیږدولو ته اړتیا لري
- یو باوري سند جوړ کړئ او په یو څه ډول فایرفوکس قانع کړئ چې د موجوده هغه پرځای چې پای ته رسیدلی وي دا ومني
موږ پریکړه وکړه چې لومړی لومړی اختیار وکاروو، کوم چې د کار وړ ښکاري. د ورځې په پای کې ، دوی دوهم فکس (نوی سند) خپور کړ ، کوم چې موږ به یې وروسته په اړه وغږیږو.
د سند بدلول
لکه څنګه چې ما پورته یادونه وکړه، دا اړینه وه:
- یو نوی معتبر سند جوړ کړئ
- دا په فایرفوکس کې لرې نصب کړئ
د دې لپاره چې پوه شي چې ولې دا کار کوي، راځئ چې د اضافې تایید پروسې ته نږدې کتنه وکړو. اضافه پخپله د فایلونو سیټ په توګه راځي ، پشمول د سندونو سلسله چې د لاسلیک لپاره کارول کیږي. د پایلې په توګه، اضافه تایید کیدی شي که براوزر د روټ سند پیژني، کوم چې په فایرفوکس کې د جوړیدو په وخت کې جوړ شوی. په هرصورت، لکه څنګه چې موږ دمخه پوهیږو، د منځګړیتوب سند پای ته رسیدلی، نو د اضافې تایید کول ناممکن دي.
کله چې فایرفوکس هڅه کوي د اضافې تصدیق وکړي، دا یوازې د اډون دننه موجود سندونو کارولو پورې محدود ندي. پرځای یې ، براوزر هڅه کوي د اعتبار وړ سند سلسله رامینځته کړي ، د پای سند سره پیل کیږي او تر هغه پورې دوام کوي چې ریښې ته ورسیږي. په لومړۍ کچه، موږ د پای سند سره پیل کوو او بیا هغه سند ومومئ چې موضوع یې د پای سند صادرونکی دی (یعنې منځمهاله سند). معمولا دا منځمهاله سند د اضافې سره چمتو کیږي، مګر د براوزر ذخیره څخه کوم سند هم کولی شي د دې منځګړی سند په توګه کار وکړي. که موږ کولی شو په لیرې توګه د سند پلورنځي ته نوی معتبر سند اضافه کړو، فایرفوکس به هڅه وکړي چې دا وکاروي. د نوي سند نصبولو دمخه او وروسته وضعیت.
د نوي سند له نصبولو وروسته، فایرفوکس به دوه اختیارونه ولري کله چې د سند سلسله تایید کړي: زاړه غلط سند وکاروئ (کوم چې کار نه کوي) یا نوی معتبر سند (کوم چې به کار وکړي). دا مهمه ده چې نوی سند د زاړه سند په څیر ورته موضوع نوم او عامه کلیمه ولري، نو په وروستي سند کې د هغې لاسلیک به اعتبار ولري. فایرفوکس دومره هوښیار دی چې دواړه اختیارونه هڅه وکړي تر هغه چې دا یو کار ومومي چې کار کوي، نو اضافې بیا ازمول کیږي. په یاد ولرئ چې دا هماغه منطق دی چې موږ یې د TLS سندونو اعتبار کولو لپاره کاروو.
د لیکوال یادونه: هغه لوستونکي چې د WebPKI سره اشنا دي به یادونه وکړي چې کراس سندونه په ورته ډول کار کوي.
د دې فکس په اړه عالي شی دا دی چې دا تاسو ته اړتیا نلري چې موجوده اضافې بیا لاسلیک کړئ. هرڅومره ژر چې براوزر نوی سند ترلاسه کړي ، ټول اضافې به بیا کار وکړي. پاتې ننګونه دا ده چې کاروونکو ته نوی سند وړاندې کړي (په اوتومات ډول او لیرې) ، په بیله بیا د فایرفوکس ترلاسه کول د غیر فعال اضافو بیاکتنې لپاره.
نورمنډي او د څیړنې سیسټم
په حیرانتیا سره، دا ستونزه د "سیسټم" په نوم د ځانګړي اضافو لخوا حل کیږي. د څیړنې ترسره کولو لپاره، موږ د نورمنډي په نوم یو سیسټم رامینځته کړی چې کاروونکو ته څیړنې وړاندې کوي. دا مطالعات په اوتومات ډول په براوزر کې ترسره کیږي، او د فایرفوکس داخلي APIs ته یې لاسرسی ښه کړی دی. څیړنه کولی شي د سند پلورنځي ته نوي سندونه اضافه کړي.
د لیکوال یادونه: موږ د کوم ځانګړي امتیازاتو سره سند نه اضافه کوو؛ دا د روټ سند لخوا لاسلیک شوی، نو فایرفوکس په دې باور لري. موږ په ساده ډول دا د سندونو په حوض کې اضافه کوو چې د براوزر لخوا کارول کیدی شي.
نو د حل لاره دا ده چې مطالعه جوړه کړئ:
- د نوي سند نصب کول چې موږ د کاروونکو لپاره رامینځته کړی
- براوزر مجبوروي چې غیر فعال شوي اضافه بیا وګوري ترڅو دوی بیا کار وکړي
"مګر انتظار وکړئ،" تاسو ووایاست، "اضافې کار نه کوي، زه څنګه کولی شم د سیسټم اضافه پیل کړم؟" راځئ چې دا د نوي سند سره لاسلیک کړو!
دا ټول یوځای کول ... ولې دومره وخت نیسي؟
نو ، پلان: د زاړه ځای پرځای کولو لپاره نوی سند صادر کړئ ، د سیسټم اضافه رامینځته کړئ او کاروونکو ته یې د نورمنډي له لارې نصب کړئ. ستونزې، لکه څنګه چې ما وویل، د می په 4 د ماسپښین په 4:00 پیل شوې، او دمخه د ورته ورځې په 12:44 کې، د 9 ساعتونو څخه لږ وروسته، موږ نورمنډي ته یو حل واستاوه. ټولو کاروونکو ته د رسیدو لپاره دا نور 6-12 ساعته وخت نیسي. هیڅ بد ندی، مګر په ټویټر کې خلک پوښتنه کوي چې ولې موږ ګړندي عمل نه شو کولی.
لومړی، دا د نوي منځګړیتوب سند صادرولو لپاره وخت نیولی. لکه څنګه چې ما پورته یادونه وکړه، د روټ سند کلید د هارډویر امنیت ماډل کې آفلاین زیرمه شوی. دا د امنیت له نظره ښه دی ، ځکه چې ریښه خورا ندرت کارول کیږي او باید په دقت سره خوندي شي ، مګر دا یو څه ناشونی دی کله چې تاسو اړتیا لرئ سمدستي نوی سند لاسلیک کړئ. زموږ یو انجنیر باید د HSM ذخیره کولو تاسیساتو ته سفر وکړي. بیا د سم سند صادرولو لپاره ناکامې هڅې وې، او هرې هڅې یو یا دوه ساعته د ازموینې مصرف کړي.
دوهم، د سیسټم اضافه کولو پراختیا یو څه وخت نیولی. په تصور کې دا خورا ساده دی، مګر حتی ساده پروګرامونه پاملرنې ته اړتیا لري. موږ غوښتل ډاډ ترلاسه کړو چې موږ وضعیت خراب نه کړو. څیړنې ته اړتیا لري مخکې لدې چې کاروونکو ته واستول شي ازموینه وشي. سربیره پردې ، اضافه باید لاسلیک شي ، مګر زموږ د اضافې لاسلیک کولو سیسټم غیر فعال و ، نو موږ باید د حل لاره ومومئ.
په نهایت کې ، یوځل چې موږ د سپارلو لپاره څیړنې چمتو کړې ، ګمارل وخت نیسي. براوزر په هر 6 ساعتونو کې د نورمنډي تازه کولو لپاره ګوري. ټول کمپیوټرونه تل نه وي او انټرنیټ سره وصل وي، نو دا به د حل لپاره وخت ونیسي چې کاروونکو ته خپور شي.
وروستي ګامونه
څیړنه باید د ډیری کاروونکو لپاره ستونزه حل کړي، مګر د هرچا لپاره شتون نلري. ځینې کاروونکي ځانګړې طریقې ته اړتیا لري:
- هغه کارونکي چې څیړنه یا ټیلی میټري غیر فعال کړي
- د Android نسخه (فینیک) کارونکي ، چیرې چې څیړنه په بشپړ ډول نه ملاتړ کیږي
- په شرکتونو کې د فایرفوکس ESR دودیز جوړونې کارونکي چیرې چې ټیلی میټري نشي فعال کیدی
- کارونکي د MitM پراکسي شاته ناست دي، ځکه چې زموږ د اضافې نصبولو سیسټم کلیدي پنینګ کاروي، کوم چې د داسې پراکسي سره کار نه کوي
- د فایرفوکس د میراثي نسخو کارونکي چې د څیړنې ملاتړ نه کوي
موږ د کاروونکو د وروستي کټګورۍ په اړه هیڅ نه شو کولی - دوی باید لاهم د فایرفوکس نوې نسخه ته تازه کړي، ځکه چې زاړه کسان جدي ناپیل شوي زیانونه لري. موږ پوهیږو چې ځینې خلک د فایرفوکس په زړو نسخو کې پاتې کیږي ځکه چې دوی غواړي زاړه ایډونه پرمخ بوځي، مګر ډیری زاړه اضافه لا دمخه د براوزر نوي نسخو ته لیږدول شوي. د نورو کاروونکو لپاره، موږ یو پیچ رامینځته کړی چې یو نوی سند به نصب کړي. دا د بګ فکس ریلیز په توګه خپور شو (د ژباړونکي یادونه: فایرفوکس 66.0.5)، نو خلک به دا ترلاسه کړي - ډیری احتمال دمخه یې ترلاسه کړی - د منظم تازه چینل له لارې. که تاسو د فایرفوکس ESR دودیز جوړښت کاروئ، مهرباني وکړئ خپل ساتونکي سره اړیکه ونیسئ.
موږ پوهیږو چې دا مثالی ندی. په ځینو حاالتو کې، کاروونکو اضافه ډاټا له لاسه ورکړې (د مثال په توګه، اضافه ډاټا ګ-ګ .ون جوړونکي).
د دې اړخیزې اغیزې مخنیوی نشي کیدی، مګر موږ باور لرو چې په لنډ وخت کې موږ د ډیرو کاروونکو لپاره غوره حل غوره کړی. په اوږد مهال کې، موږ به نور، نور پرمختللي معماري طریقې وګورو.
درسونه
لومړی ، زموږ ټیم د مسلې موندلو وروسته له 12 ساعتونو څخه لږ وخت کې د حل رامینځته کولو او لیږدولو په زړه پورې دنده ترسره کړه. د هغه چا په توګه چې په غونډو کې یې ګډون کړی و، ویلای شم چې په دې سختو حالاتو کې خلکو ډېر کار کړی او ډېر لږ وخت ضایع شوی دی.
په ښکاره ډول، له دې څخه هیڅ شی باید نه وي پیښ شوي. دا په څرګنده توګه ارزښت لري چې زموږ پروسې تنظیم کړئ ترڅو د ورته پیښو احتمال کم شي او درملنه یې اسانه کړي.
راتلونکې اونۍ به موږ یو رسمي پوسټ مارټم او د بدلونونو لیست خپور کړو چې موږ یې اراده لرو. د اوس لپاره، زه به خپل نظرونه شریک کړم. لومړی، د احتمالي وخت بم د وضعیت د څارلو لپاره باید غوره لاره وي. موږ باید ډاډ ترلاسه کړو چې موږ خپل ځان په داسې حالت کې نه وینو چیرې چې یو یې ناڅاپه کار کوي. موږ لاهم په تفصیل کار کوو، مګر لږترلږه، دا اړینه ده چې دا ټول شیان په پام کې ونیسو.
دوهم، موږ یو میکانیزم ته اړتیا لرو چې کاروونکو ته په چټکۍ سره تازه معلومات وړاندې کړو، حتی کله چې - په ځانګړې توګه کله چې نور هرڅه ناکام شي. دا خورا ښه وه چې موږ د "څیړنې" سیسټم کارولو توان درلود، مګر دا یو نیمګړتیا وسیله ده او ځینې ناغوښتل شوي اړخیزې اغیزې لري. په ځانګړې توګه، موږ پوهیږو چې ډیری کاروونکي اتوماتیک تازه شوي دي، مګر غوره به نه وي چې په څیړنه کې برخه واخلي (زه اعتراف کوم، ما دوی هم بند کړي دي!). په ورته وخت کې، موږ کاروونکو ته د تازه معلوماتو لیږلو لپاره یوې لارې ته اړتیا لرو، مګر هر څه چې داخلي تخنیکي تطبیق وي، کاروونکي باید د دې وړتیا ولري چې د تازه معلوماتو لپاره ګډون وکړي (د ګرمو اصلاحاتو په شمول) مګر د هر څه څخه غوره کول. سربیره پردې، د اوسمهال چینل باید د اوس په پرتله ډیر ځواب ویونکي وي. حتی د می په 6 ، لاهم داسې کارونکي شتون لري چې د فکس یا نوي نسخې څخه ګټه نه اخلي. په دې ستونزه لا دمخه کار شوی، مګر څه پیښ شوي وښودله چې دا څومره مهم دی.
په نهایت کې ، موږ به د اضافې امنیت جوړښت ته نږدې کتنه وکړو ترڅو ډاډ ترلاسه کړو چې دا د هرڅه ماتولو لږترلږه خطر سره د امنیت سمه کچه چمتو کوي.
راتلونکې اونۍ به موږ د هغه څه په اړه د لا بشپړ تحلیل پایلې وګورو چې څه پیښ شوي ، مګر په ورته وخت کې زه به خوښ یم چې د بریښنالیک له لارې پوښتنو ته ځواب ووایم: [ایمیل خوندي شوی]
سرچینه: linux.org.ru