{"id":33503,"date":"2019-10-31T21:52:58","date_gmt":"2019-10-31T18:52:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa\/"},"modified":"2019-10-31T21:52:58","modified_gmt":"2019-10-31T18:52:58","slug":"kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","title":{"rendered":"Como o DNSCrypt resolveu o problema dos certificados expirados, introduzindo um prazo de validade de 24 horas","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Como
\n
\nAnteriormente, os certificados frequentemente expiravam porque precisavam ser atualizados manualmente. As pessoas simplesmente esqueciam de faz\u00ea-lo. Com o surgimento do Let\u2019s Encrypt e do procedimento autom\u00e1tico de atualiza\u00e7\u00e3o, o problema parecia ter sido resolvido. Mas uma recente hist\u00f3ria com o Firefox<\/a><\/noindex> mostra que, na verdade, ainda \u00e9 uma quest\u00e3o atual. Infelizmente, os certificados continuam a expirar.<\/p>\n

Se algu\u00e9m perdeu essa hist\u00f3ria, \u00e0 meia-noite do dia 4 de maio de 2019, quase todas as extens\u00f5es do Firefox pararam de funcionar repentinamente.
\n<\/a><\/noindex>
\nComo se descobriu, uma falha em massa ocorreu porque a Mozilla deixou expirar o certificado<\/a><\/noindex>, que era utilizado para assinar as extens\u00f5es. Portanto, elas foram marcadas como \"inv\u00e1lidas\" e n\u00e3o passaram na verifica\u00e7\u00e3o (detalhes t\u00e9cnicos<\/a><\/noindex>). Nos f\u00f3runs, como uma solu\u00e7\u00e3o alternativa, recomendou-se desativar a verifica\u00e7\u00e3o das assinaturas das extens\u00f5es no about:config<\/i> ou alterar a data e hora do sistema.<\/p>\n

A Mozilla rapidamente lan\u00e7ou o patch do Firefox 66.0.4, que resolve o problema do certificado inv\u00e1lido, e todas as extens\u00f5es retornam ao normal. Os desenvolvedores recomendam que voc\u00ea instale-o e n\u00e3o utilize<\/a><\/noindex> nenhuma solu\u00e7\u00e3o alternativa para contornar a verifica\u00e7\u00e3o de assinaturas, pois isso pode conflitar com o patch.<\/p>\n

No entanto, essa hist\u00f3ria mais uma vez mostra que a expira\u00e7\u00e3o dos certificados continua sendo um problema relevante at\u00e9 hoje.<\/p>\n

Nesse sentido, \u00e9 interessante observar uma maneira bastante original que os desenvolvedores do protocolo DNSCrypt<\/a><\/noindex>resolveram essa tarefa. Sua solu\u00e7\u00e3o pode ser dividida em duas partes. Em primeiro lugar, s\u00e3o os certificados de curto prazo. Em segundo lugar, o aviso aos usu\u00e1rios sobre a expira\u00e7\u00e3o dos certificados de longo prazo.<\/p>\n

DNSCrypt<\/h1>\n

\n\"ComoDNSCrypt \u00e9 um protocolo que criptografa o tr\u00e1fego DNS. Ele protege as comunica\u00e7\u00f5es DNS contra intercepta\u00e7\u00f5es e ataques Man-in-the-Middle, al\u00e9m de permitir contornar bloqueios em n\u00edvel de consultas DNS.<\/p>\n

O protocolo encapsula o tr\u00e1fego DNS entre o cliente e o servidor em uma estrutura criptogr\u00e1fica, operando sobre os protocolos de transporte UDP e TCP. Para us\u00e1-lo, tanto o cliente quanto o resolvedor DNS devem suportar o DNSCrypt. Por exemplo, desde mar\u00e7o de 2016, o servi\u00e7o DNS do \"Yandex\" o habilitou em seus servidores DNS e no navegador. Outros provedores tamb\u00e9m anunciaram suporte, incluindo Google e Cloudflare. Infelizmente, eles n\u00e3o s\u00e3o muitos (no site oficial, 152 servidores DNS p\u00fablicos est\u00e3o listados). Mas o programa dnscrypt-proxy<\/a><\/noindex> pode ser instalado manualmente em clientes com Linux, Windows e MacOS. Tamb\u00e9m existem implementa\u00e7\u00f5es de servidor<\/a><\/noindex>.<\/p>\n

\"Como
\n
\nComo funciona o DNSCrypt? Em resumo, o cliente pega a chave p\u00fablica do provedor escolhido e, com ela, verifica seus certificados. J\u00e1 est\u00e3o presentes chaves p\u00fablicas de curto prazo para a sess\u00e3o e um identificador do conjunto de cifras. Recomenda-se que os clientes gerem uma nova chave para cada solicita\u00e7\u00e3o, enquanto os servidores devem mudar as chaves a cada 24 horas<\/b>. Ao trocar chaves, \u00e9 utilizado o algoritmo X25519, para assinatura \u2014 EdDSA, e para criptografia em bloco \u2014 XSalsa20-Poly1305 ou XChaCha20-Poly1305.<\/p>\n

Um dos desenvolvedores do protocolo, Frank Denis escreve<\/a><\/noindex>, afirmou que a troca autom\u00e1tica a cada 24 horas resolveu o problema dos certificados expirados. Em princ\u00edpio, o cliente de refer\u00eancia dnscrypt-proxy aceita certificados com qualquer prazo de validade, mas emite um aviso \"O per\u00edodo das chaves dnscrypt-proxy para este servidor \u00e9 muito longo\", se ele for v\u00e1lido por mais de 24 horas. Ao mesmo tempo, uma imagem Docker foi lan\u00e7ada, na qual foi implementada a troca r\u00e1pida de chaves (e certificados).<\/p>\n

Em primeiro lugar, isso \u00e9 extremamente \u00fatil para a seguran\u00e7a: se o servidor for comprometido ou a chave vazada, o tr\u00e1fego de ontem n\u00e3o pode ser decifrado. A chave j\u00e1 foi alterada. Provavelmente, isso ser\u00e1 um problema para a implementa\u00e7\u00e3o da \"lei Yarovaya\", que obriga os provedores a armazenar todo o tr\u00e1fego, incluindo o criptografado. Presume-se que, posteriormente, ele poder\u00e1 ser decifrado quando necess\u00e1rio, solicitando a chave ao site. Mas, nesse caso, o site simplesmente n\u00e3o poder\u00e1 fornec\u00ea-la, pois utiliza chaves de curto prazo, excluindo as antigas.<\/p>\n

Mas o principal, escreve Denis, \u00e9 que as chaves de curto prazo fazem com que os servidores, desde o primeiro dia, configurem a automa\u00e7\u00e3o. Se o servidor se conecta \u00e0 rede e os scripts de troca de chaves n\u00e3o est\u00e3o configurados ou n\u00e3o funcionam, isso ser\u00e1 imediatamente detectado.<\/p>\n

Quando a automa\u00e7\u00e3o muda as chaves a cada v\u00e1rios anos, n\u00e3o se pode confiar nela, e as pessoas podem esquecer o vencimento do certificado. Com a troca di\u00e1ria de chaves, isso ser\u00e1 detectado imediatamente.<\/p>\n

Ao mesmo tempo, se a automa\u00e7\u00e3o estiver configurada corretamente, n\u00e3o importa com que frequ\u00eancia a troca de chaves \u00e9 realizada: anualmente, trimestralmente ou tr\u00eas vezes ao dia. Se tudo funcionar por mais de 24 horas, funcionar\u00e1 para sempre, escreve Frank Denis. Segundo ele, a recomenda\u00e7\u00e3o de trocar chaves diariamente na segunda vers\u00e3o do protocolo, juntamente com uma imagem Docker implementando isso, reduziu efetivamente o n\u00famero de servidores com certificados expirados, ao mesmo tempo em que melhorou a seguran\u00e7a.<\/p>\n

No entanto, alguns provedores decidiram, por raz\u00f5es t\u00e9cnicas, estabelecer um prazo de validade do certificado superior a 24 horas. Esse problema foi principalmente resolvido com algumas linhas de c\u00f3digo no dnscrypt-proxy: os usu\u00e1rios recebem um aviso informativo 30 dias antes da expira\u00e7\u00e3o do certificado, uma mensagem de maior gravidade 7 dias antes da expira\u00e7\u00e3o e uma mensagem cr\u00edtica se restar menos de 24 horas para o certificado. Isso se aplica apenas a certificados que inicialmente t\u00eam um prazo de validade prolongado.<\/p>\n

Essas mensagens permitem que os usu\u00e1rios informem os operadores de DNS sobre a iminente expira\u00e7\u00e3o do certificado, antes que seja tarde demais. <\/p>\n

Talvez, se todos os usu\u00e1rios do Firefox recebessem essa mensagem, algu\u00e9m com certeza informaria os desenvolvedores e eles n\u00e3o permitiriam a expira\u00e7\u00e3o do certificado. \"N\u00e3o me lembro de nenhum servidor DNSCrypt da lista de servidores DNS p\u00fablicos que tenha expirado nos \u00faltimos dois ou tr\u00eas anos\", escreve Frank Denis. De qualquer forma, talvez seja melhor primeiro avisar os usu\u00e1rios, em vez de desativar as extens\u00f5es sem aviso.<\/p>\n

\n\"Como
\n<\/a><\/noindex>
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25203,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Como o DNSCrypt resolveu o problema dos certificados expirados, introduzindo um prazo de validade de 24 horas | ProHoster","description":"Antes.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a DNSCrypt \u0440\u0435\u0448\u0438\u043b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043f\u0440\u043e\u0441\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u0432\u0432\u0435\u0434\u044f \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f 24 \u0447\u0430\u0441\u0430 | ProHoster","og:description":"\u0420\u0430\u043d\u044c\u0448\u0435.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:52:58+00:00","article:modified_time":"2019-10-31T18:52:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33503","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:31:39","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:31:39","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/33503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=33503"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/33503\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/25203"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=33503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=33503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=33503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}