{"id":33503,"date":"2019-10-31T21:52:58","date_gmt":"2019-10-31T18:52:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa\/"},"modified":"2019-10-31T21:52:58","modified_gmt":"2019-10-31T18:52:58","slug":"kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","title":{"rendered":"Hur DNSCrypt l\u00f6ste problemet med f\u00f6r\u00e5ldrade certifikat genom att inf\u00f6ra en giltighetstid p\u00e5 24 timmar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Hur
\n
\nTidigare gick certifikat ofta ut eftersom de beh\u00f6vde uppdateras manuellt. Folk gl\u00f6mde helt enkelt att g\u00f6ra det. Med Let\u2019s Encrypt och en automatisk uppdateringsprocedur borde problemet vara l\u00f6st. Men den senaste historien med Firefox<\/a><\/noindex> visar att det faktiskt fortfarande \u00e4r aktuellt. Tyv\u00e4rr forts\u00e4tter certifikat att l\u00f6pa ut.<\/p>\n

Om n\u00e5gon missade denna historia, s\u00e5 slutade n\u00e4stan alla Firefox-till\u00e4gg att fungera vid midnatt den 4 maj 2019.
\n<\/a><\/noindex>
\nSom det visade sig uppstod det en massiv driftst\u00f6rning p\u00e5 grund av att Mozilla hade ett certifikat som varit giltigt<\/a><\/noindex>, vilket anv\u00e4ndes f\u00f6r att signera till\u00e4gg. D\u00e4rf\u00f6r markerades de som \"ogiltiga\" och passerade inte kontrollen (tekniska detaljer<\/a><\/noindex>). P\u00e5 forumen rekommenderade man som en tillf\u00e4llig l\u00f6sning att st\u00e4nga av kontrollen av till\u00e4ggens signaturer i about:config<\/i> eller \u00e4ndra systemklockan.<\/p>\n

Mozilla sl\u00e4ppte snabbt en patch f\u00f6r Firefox 66.0.4, som l\u00f6ser problemet med det ogiltiga certifikatet, och alla till\u00e4gg \u00e5terst\u00e4lldes till det normala. Utvecklarna rekommenderar att installera det och inte anv\u00e4nda<\/a><\/noindex> n\u00e5gra tillf\u00e4lliga l\u00f6sningar f\u00f6r att kringg\u00e5 signaturkontroller, eftersom de kan kollidera med patchen.<\/p>\n

Denna historia visar \u00e4nd\u00e5 \u00e5terigen att certifikatens utg\u00e5ng kvarst\u00e5r som ett aktuellt problem \u00e4ven idag.<\/p>\n

I detta sammanhang \u00e4r det intressant att titta p\u00e5 ett ganska originellt s\u00e4tt som utvecklarna av protokollet DNSCrypt<\/a><\/noindex>har l\u00f6st detta problem. Deras l\u00f6sning kan delas upp i tv\u00e5 delar. F\u00f6r det f\u00f6rsta, korttidscertifikat. F\u00f6r det andra, att meddela anv\u00e4ndarna om utg\u00e5ngen av l\u00e5ngtidscertifikat.<\/p>\n

DNSCrypt<\/h1>\n

\n\"HurDNSCrypt \u00e4r ett protokoll f\u00f6r kryptering av DNS-trafik. Det skyddar DNS-kommunikation fr\u00e5n avlyssning och MiTM, samt g\u00f6r det m\u00f6jligt att kringg\u00e5 blockeringar p\u00e5 DNS-fr\u00e5geniv\u00e5.<\/p>\n

Protokollet kapslar in DNS-trafik mellan klienten och servern i en kryptografisk konstruktion och fungerar \u00f6ver transportprotokollen UDP och TCP. F\u00f6r att anv\u00e4nda det m\u00e5ste b\u00e5de klienten och DNS-uppl\u00f6saren st\u00f6dja DNSCrypt. Till exempel har Yandex aktiverat det p\u00e5 sina DNS-servrar och i sin webbl\u00e4sare sedan mars 2016. Flera andra leverant\u00f6rer, inklusive Google och Cloudflare, har ocks\u00e5 meddelat sitt st\u00f6d. Tyv\u00e4rr \u00e4r de inte s\u00e5 m\u00e5nga (det finns 152 offentliga DNS-servrar listade p\u00e5 den officiella webbplatsen). Men programmet dnscrypt-proxy<\/a><\/noindex> manuellt installeras p\u00e5 klienter under Linux, Windows och MacOS. Det finns ocks\u00e5 serverimplementationer<\/a><\/noindex>.<\/p>\n

\"Hur
\n
\nHur fungerar DNSCrypt? Kort sagt, klienten tar den offentliga nyckeln fr\u00e5n den valda tj\u00e4nsteleverant\u00f6ren och kontrollerar dess certifikat med hj\u00e4lp av den. D\u00e4r finns kortvariga offentliga nycklar f\u00f6r sessionen och en identifierare f\u00f6r chiffersatsen. Det rekommenderas att klienter genererar en ny nyckel f\u00f6r varje beg\u00e4ran, och servrar b\u00f6r byta nycklar var 24:e timme<\/b>. Vid nyckelutbyte anv\u00e4nds algoritmen X25519, f\u00f6r signering \u2013 EdDSA, f\u00f6r blockkryptering \u2013 XSalsa20-Poly1305 eller XChaCha20-Poly1305.<\/p>\n

En av protokollutvecklarna, Frank Denis skriver<\/a><\/noindex>, sade att den automatiska bytet var 24:e timme l\u00f6ste problemet med utg\u00e5ngna certifikat. I grund och botten accepterar referensklienten dnscrypt-proxy certifikat med vilken giltighetstid som helst, men ger en varning \"Periode av dnscrypt-proxy nycklar f\u00f6r denna server \u00e4r f\u00f6r l\u00e5ng\" om den \u00e4r giltig l\u00e4ngre \u00e4n 24 timmar. Samtidigt sl\u00e4pptes en Docker-bild d\u00e4r snabb nyckelbyten (och certifikat) implementerades.<\/p>\n

F\u00f6r det f\u00f6rsta \u00e4r det oerh\u00f6rt anv\u00e4ndbart f\u00f6r s\u00e4kerheten: om servern har blivit komprometterad eller nyckeln har l\u00e4ckt, kan g\u00e5rdagens trafik inte avkodas. Nyckeln har redan bytts ut. Detta kommer sannolikt att bli ett problem f\u00f6r till\u00e4mpningen av \"Yarovaya-lagen\", som tvingar tj\u00e4nsteleverant\u00f6rer att lagra all trafik, inklusive krypterad trafik. Det f\u00f6ruts\u00e4tts att den senare kan avkodas vid behov genom att beg\u00e4ra nyckeln fr\u00e5n webbplatsen. Men i det h\u00e4r fallet kan webbplatsen helt enkelt inte tillhandah\u00e5lla den, eftersom den anv\u00e4nder kortvariga nycklar och raderar gamla.<\/p>\n

Men huvudpunkten, skriver Denis, \u00e4r att kortvariga nycklar tvingar servrar att automatisera fr\u00e5n f\u00f6rsta dagen. Om servern ansluter till n\u00e4tverket, och skripten f\u00f6r nyckelbyten inte \u00e4r inst\u00e4llda eller inte fungerar, kommer det att uppt\u00e4ckas omedelbart.<\/p>\n

N\u00e4r automatisering byter nycklar n\u00e5gra \u00e5r, kan man inte lita p\u00e5 den, och m\u00e4nniskor kan gl\u00f6mma utg\u00e5ngsdatumet f\u00f6r certifikatet. Vid daglig nyckelbyte kommer detta att uppt\u00e4ckas omedelbart.<\/p>\n

Samtidigt, om automatiseringen \u00e4r korrekt inst\u00e4lld, spelar det ingen roll hur ofta nycklar byts: varje \u00e5r, kvartalsvis eller tre g\u00e5nger om dagen. Om allt fungerar i mer \u00e4n 24 timmar, kommer det att forts\u00e4tta fungera f\u00f6r alltid, skriver Frank Denis. Enligt honom har rekommendationen att byta nycklar dagligen i den andra versionen av protokollet tillsammans med en f\u00e4rdig Docker-bild som genomf\u00f6r detta effektivt minskat antalet servrar med utg\u00e5ngna certifikat, samtidigt som s\u00e4kerheten f\u00f6rb\u00e4ttrades.<\/p>\n

Men vissa leverant\u00f6rer har \u00e4nd\u00e5 valt av tekniska sk\u00e4l att s\u00e4tta giltighetstiden f\u00f6r certifikat till mer \u00e4n 24 timmar. Detta problem l\u00f6stes i huvudsak med hj\u00e4lp av n\u00e5gra rader kod i dnscrypt-proxy: anv\u00e4ndarna f\u00e5r en informationsvarning 30 dagar innan certifikatets utg\u00e5ng, ett annat meddelande med h\u00f6gre allvarlighet 7 dagar innan utg\u00e5ng och ett kritiskt meddelande om det finns mindre \u00e4n 24 timmar kvar p\u00e5 certifikatet. Detta g\u00e4ller endast certifikat som fr\u00e5n b\u00f6rjan har en l\u00e4ngre giltighetstid.<\/p>\n

Dessa meddelanden ger anv\u00e4ndarna m\u00f6jlighet att informera DNS-operat\u00f6rerna om det kommande utg\u00e5ngsdatumet f\u00f6r certifikatet, innan det \u00e4r f\u00f6r sent. <\/p>\n

Kanske, om alla Firefox-anv\u00e4ndare hade f\u00e5tt ett s\u00e5dant meddelande, skulle n\u00e5gon s\u00e4kert ha informerat utvecklarna s\u00e5 att de inte skulle l\u00e5ta certifikatet g\u00e5 ut. \"Jag minns inget DNSCrypt-server fr\u00e5n de offentliga DNS-servrarna som har haft utg\u00e5ngna certifikat de senaste tv\u00e5 eller tre \u00e5ren,\" skriver Frank Denis. I vilket fall som helst, kanske det \u00e4r b\u00e4ttre att f\u00f6rst varna anv\u00e4ndarna \u00e4n att st\u00e4nga av till\u00e4gg utan f\u00f6rvarning.<\/p>\n

\n\"Hur
\n<\/a><\/noindex>
\n
K\u00e4lla: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u043d\u044c\u0448\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u0442\u0435\u043a\u0430\u043b\u0438 \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u0445 \u043d\u0443\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041b\u044e\u0434\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0431\u044b\u0432\u0430\u043b\u0438 \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. \u0421 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c Let\u2019s Encrypt \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u044b \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0430. \u041d\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u044f\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0441 Firefox \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043e\u043d\u0430 \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0438\u0441\u0442\u0435\u043a\u0430\u0442\u044c. \u0415\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25203,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33503","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Hur DNSCrypt l\u00f6ste problemet med utg\u00e5ngna certifikat genom att inf\u00f6ra en giltighetstid p\u00e5 24 timmar | ProHoster","description":"Tidigare.","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a DNSCrypt \u0440\u0435\u0448\u0438\u043b \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043f\u0440\u043e\u0441\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u0432\u0432\u0435\u0434\u044f \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f 24 \u0447\u0430\u0441\u0430 | ProHoster","og:description":"\u0420\u0430\u043d\u044c\u0448\u0435.","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/kak-dnscrypt-reshil-problemu-prosrochennyh-sertifikatov-vvedya-srok-dejstviya-24-chasa","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:52:58+00:00","article:modified_time":"2019-10-31T18:52:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33503","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:31:39","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:31:39","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/33503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=33503"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/33503\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/25203"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=33503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=33503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=33503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}