நாங்கள் TLS 1.3 ஐ இயக்கியுள்ளோம். ஏன் அதையே செய்ய வேண்டும்

ஆண்டின் தொடக்கத்தில், 2018-2019க்கான இணையச் சிக்கல்கள் மற்றும் அணுகல் குறித்த அறிக்கையில் நாங்கள் ஏற்கனவே எழுதியுள்ளோம்TLS 1.3 இன் பரவல் தவிர்க்க முடியாதது. சில காலத்திற்கு முன்பு, நாங்கள் போக்குவரத்து அடுக்கு பாதுகாப்பு நெறிமுறையின் பதிப்பு 1.3 ஐப் பயன்படுத்தினோம், மேலும் தரவைச் சேகரித்து பகுப்பாய்வு செய்த பிறகு, இந்த மாற்றத்தின் அம்சங்களைப் பற்றி பேச நாங்கள் தயாராக உள்ளோம்.

IETF TLS பணிக்குழு தலைவர்கள் எழுத:
"சுருக்கமாக, TLS 1.3 அடுத்த 20 ஆண்டுகளுக்கு மிகவும் பாதுகாப்பான மற்றும் திறமையான இணையத்திற்கான அடித்தளத்தை வழங்க வேண்டும்."

வடிவமைப்பு TLS 1.3 10 நீண்ட ஆண்டுகள் எடுத்தது. Qrator Labs இல் உள்ள நாங்கள், மற்ற தொழில்துறையினருடன் சேர்ந்து, ஆரம்ப வரைவில் இருந்து நெறிமுறை உருவாக்கும் செயல்முறையை நெருக்கமாகப் பின்பற்றுகிறோம். இந்த நேரத்தில், 28 இல் சமநிலையான மற்றும் எளிதில் பயன்படுத்தக்கூடிய நெறிமுறையின் வெளிச்சத்தைப் பார்க்க, வரைவின் 2019 தொடர்ச்சியான பதிப்புகளை எழுத வேண்டியது அவசியம். TLS 1.3 க்கான செயலில் உள்ள சந்தை ஆதரவு ஏற்கனவே தெளிவாக உள்ளது: நிரூபிக்கப்பட்ட மற்றும் நம்பகமான பாதுகாப்பு நெறிமுறையை செயல்படுத்துவது காலத்தின் தேவைகளை பூர்த்தி செய்கிறது.

எரிக் ரெஸ்கோர்லா (Firefox CTO மற்றும் TLS 1.3 இன் ஒரே ஆசிரியர்) கருத்துப்படி தி ரிஜிஸ்டருக்கு அளித்த பேட்டியில்:

"இது TLS 1.2 க்கு முழுமையான மாற்றாகும், அதே விசைகள் மற்றும் சான்றிதழ்களைப் பயன்படுத்துகிறது, எனவே கிளையன்ட் மற்றும் சர்வர் இருவரும் TLS 1.3 ஐ ஆதரித்தால் தானாகவே தொடர்பு கொள்ள முடியும்," என்று அவர் கூறினார். "நூலக அளவில் ஏற்கனவே நல்ல ஆதரவு உள்ளது, மேலும் Chrome மற்றும் Firefox இயல்பாக TLS 1.3 ஐ செயல்படுத்துகின்றன."

இணையாக, IETF பணிக்குழுவில் TLS முடிவடைகிறது RFC தயாரிப்பு, TLS இன் பழைய பதிப்புகளை (TLS 1.2 மட்டும் தவிர்த்து) வழக்கற்றுப் போனதாகவும் பயன்படுத்த முடியாததாகவும் அறிவிக்கிறது. பெரும்பாலும், இறுதி RFC கோடை முடிவதற்குள் வெளியிடப்படும். இது தகவல் தொழில்நுட்பத் துறைக்கு மற்றொரு சமிக்ஞையாகும்: குறியாக்க நெறிமுறைகளைப் புதுப்பிப்பது தாமதமாகாது.

தற்போதைய TLS 1.3 செயலாக்கங்களின் பட்டியல் Github இல் மிகவும் பொருத்தமான நூலகத்தைத் தேடும் அனைவருக்கும் கிடைக்கிறது: https://github.com/tlswg/tls13-spec/wiki/Implementations. புதுப்பிக்கப்பட்ட நெறிமுறைக்கான தத்தெடுப்பு மற்றும் ஆதரவு - மற்றும் ஏற்கனவே - வேகமாக முன்னேறும் என்பது தெளிவாகிறது. நவீன உலகில் அடிப்படை குறியாக்கம் எவ்வாறு மாறியுள்ளது என்பதைப் புரிந்துகொள்வது மிகவும் பரவலாக பரவியுள்ளது.

TLS 1.2 இலிருந்து என்ன மாறிவிட்டது?

Из இணைய சமூகம் குறிப்புகள்:
"TLS 1.3 எவ்வாறு உலகை சிறந்த இடமாக மாற்றுகிறது?

TLS 1.3 சில தொழில்நுட்ப நன்மைகளை உள்ளடக்கியது—பாதுகாப்பான இணைப்பை நிறுவுவதற்கான எளிமையான ஹேண்ட்ஷேக் செயல்முறை போன்றவை—மேலும் வாடிக்கையாளர்களை விரைவாக சேவையகங்களுடன் அமர்வுகளை மீண்டும் தொடங்க அனுமதிக்கிறது. இந்த நடவடிக்கைகள் இணைப்பு அமைவு தாமதம் மற்றும் பலவீனமான இணைப்புகளில் இணைப்பு தோல்விகளைக் குறைக்கும் நோக்கத்துடன் உள்ளன, இவை பெரும்பாலும் மறைகுறியாக்கப்படாத HTTP இணைப்புகளை வழங்குவதற்கான நியாயமாகப் பயன்படுத்தப்படுகின்றன.

முக்கியமாக, SHA-1, MD5, DES, 3DES மற்றும் AES-CBC உள்ளிட்ட TLS இன் முந்தைய பதிப்புகளுடன் பயன்படுத்த இன்னும் அனுமதிக்கப்பட்ட (பரிந்துரைக்கப்படவில்லை என்றாலும்) பல மரபு மற்றும் பாதுகாப்பற்ற குறியாக்கம் மற்றும் ஹாஷிங் அல்காரிதங்களுக்கான ஆதரவை இது நீக்குகிறது. புதிய சைஃபர் தொகுப்புகளுக்கான ஆதரவைச் சேர்க்கிறது. மற்ற மேம்பாடுகளில் ஹேண்ட்ஷேக்கின் அதிக மறைகுறியாக்கப்பட்ட கூறுகள் (உதாரணமாக, சான்றிதழ் தகவல் பரிமாற்றம் இப்போது குறியாக்கம் செய்யப்பட்டுள்ளது) ஒரு சாத்தியமான டிராஃபிக் ஒட்டுகேட்பவருக்கு துப்புகளின் அளவைக் குறைக்கிறது, அத்துடன் சில முக்கிய பரிமாற்ற முறைகளைப் பயன்படுத்தும் போது ரகசியத்தை அனுப்புவதற்கான மேம்பாடுகளும் அடங்கும். மறைகுறியாக்கப் பயன்படுத்தப்படும் அல்காரிதம்கள் எதிர்காலத்தில் சமரசம் செய்யப்பட்டாலும் எல்லா நேரங்களிலும் பாதுகாப்பாக இருக்க வேண்டும்.

நவீன நெறிமுறைகளின் வளர்ச்சி மற்றும் DDoS

நீங்கள் ஏற்கனவே படித்திருக்கலாம், நெறிமுறையின் வளர்ச்சியின் போது மற்றும் பிறகும், IETF TLS பணிக்குழுவில் கடுமையான முரண்பாடுகள் எழுந்தன. இப்போது உள்ளமைக்கப்பட்ட நெறிமுறைகளுக்கு இடமளிக்கும் வகையில் தனிப்பட்ட நிறுவனங்கள் (நிதி நிறுவனங்கள் உட்பட) தங்கள் சொந்த நெட்வொர்க்கைப் பாதுகாக்கும் முறையை மாற்ற வேண்டும் என்பது இப்போது தெளிவாகிறது. சரியான முன்னோக்கி ரகசியம்.

இது ஏன் தேவைப்படலாம் என்பதற்கான காரணங்கள் ஆவணத்தில் குறிப்பிடப்பட்டுள்ளன, ஸ்டீவ் ஃபென்டர் எழுதியது. ஒரு நிறுவனம் கண்காணிப்பு, இணக்கம் அல்லது பயன்பாட்டு அடுக்கு (L20) DDoS பாதுகாப்பு நோக்கங்களுக்காக அவுட்-ஆஃப்-பேண்ட் டிராஃபிக்கை (PFS அனுமதிக்காது) டிக்ரிப்ட் செய்ய விரும்பும் பல எடுத்துக்காட்டுகளை 7-பக்க தாள் குறிப்பிடுகிறது.

ஒழுங்குமுறை தேவைகளை ஊகிக்க நாங்கள் நிச்சயமாக தயாராக இல்லை என்றாலும், எங்கள் தனியுரிம பயன்பாடு DDoS குறைப்பு தயாரிப்பு (ஒரு தீர்வு உட்பட வெளிப்படுத்தல் தேவையில்லை உணர்திறன் மற்றும்/அல்லது ரகசியத் தகவல்) 2012 இல் PFS கணக்கில் உருவாக்கப்பட்டது, எனவே எங்கள் வாடிக்கையாளர்களும் கூட்டாளர்களும் TLS பதிப்பை சர்வர் பக்கத்தில் புதுப்பித்த பிறகு தங்கள் உள்கட்டமைப்பில் எந்த மாற்றமும் செய்ய வேண்டியதில்லை.

மேலும், செயல்படுத்தப்பட்டதிலிருந்து, போக்குவரத்து குறியாக்கம் தொடர்பான சிக்கல்கள் எதுவும் கண்டறியப்படவில்லை. இது அதிகாரப்பூர்வமானது: TLS 1.3 உற்பத்திக்கு தயாராக உள்ளது.

இருப்பினும், அடுத்த தலைமுறை நெறிமுறைகளின் வளர்ச்சியுடன் தொடர்புடைய சிக்கல் இன்னும் உள்ளது. சிக்கல் என்னவென்றால், IETF இல் நெறிமுறை முன்னேற்றம் பொதுவாக கல்வி ஆராய்ச்சியை பெரிதும் சார்ந்துள்ளது, மேலும் விநியோகிக்கப்பட்ட சேவை மறுப்புத் தாக்குதல்களைத் தணிக்கும் துறையில் கல்வி ஆராய்ச்சியின் நிலை மோசமாக உள்ளது.

எனவே, ஒரு நல்ல உதாரணம் இருக்கும் பிரிவு 4.4 வரவிருக்கும் QUIC நெறிமுறை தொகுப்பின் ஒரு பகுதியான IETF வரைவு "QUIC மேலாண்மை", "[DDoS தாக்குதல்களை] கண்டறிந்து குறைப்பதற்கான நவீன முறைகள் பொதுவாக நெட்வொர்க் ஃப்ளோ டேட்டாவைப் பயன்படுத்தி செயலற்ற அளவீட்டை உள்ளடக்கியது" என்று கூறுகிறது.

பிந்தையது, உண்மையில், உண்மையான நிறுவன சூழல்களில் மிகவும் அரிதானது (மற்றும் ISPகளுக்கு ஓரளவு மட்டுமே பொருந்தும்), மேலும் எந்தவொரு சந்தர்ப்பத்திலும் நிஜ உலகில் "பொது வழக்கு" ஆக இருக்க வாய்ப்பில்லை - ஆனால் அறிவியல் வெளியீடுகளில் தொடர்ந்து தோன்றும், பொதுவாக ஆதரிக்கப்படாது. பயன்பாட்டு நிலை தாக்குதல்கள் உட்பட சாத்தியமான DDoS தாக்குதல்களின் முழு நிறமாலையையும் சோதிப்பதன் மூலம். பிந்தையது, TLS இன் உலகளாவிய வரிசைப்படுத்தலின் காரணமாக, நெட்வொர்க் பாக்கெட்டுகள் மற்றும் ஓட்டங்களின் செயலற்ற அளவீடு மூலம் வெளிப்படையாகக் கண்டறிய முடியாது.

அதேபோல், டி.டி.ஓ.எஸ் தணிப்பு வன்பொருள் விற்பனையாளர்கள் TLS 1.3 இன் உண்மைகளுக்கு எவ்வாறு மாற்றியமைப்பார்கள் என்பது எங்களுக்கு இன்னும் தெரியவில்லை. அவுட்-ஆஃப்-பேண்ட் நெறிமுறையை ஆதரிப்பதில் உள்ள தொழில்நுட்ப சிக்கல் காரணமாக, மேம்படுத்த சிறிது நேரம் ஆகலாம்.

ஆராய்ச்சிக்கு வழிகாட்ட சரியான இலக்குகளை அமைப்பது DDoS குறைப்பு சேவை வழங்குநர்களுக்கு ஒரு பெரிய சவாலாகும். வளர்ச்சி தொடங்கக்கூடிய ஒரு பகுதி ஸ்மார்ட் ஆராய்ச்சி குழு IRTF இல், ஆராய்ச்சியாளர்கள் தொழில்துறையுடன் இணைந்து ஒரு சவாலான தொழில்துறையைப் பற்றிய தங்கள் சொந்த அறிவைச் செம்மைப்படுத்தலாம் மற்றும் ஆராய்ச்சியின் புதிய வழிகளை ஆராயலாம். அனைத்து ஆராய்ச்சியாளர்களுக்கும் நாங்கள் அன்பான வரவேற்பைத் தெரிவித்துக் கொள்கிறோம், ஏதேனும் இருந்தால் - DDoS ஆராய்ச்சி அல்லது SMART ஆராய்ச்சி குழு தொடர்பான கேள்விகள் அல்லது பரிந்துரைகளுடன் எங்களைத் தொடர்பு கொள்ளலாம். [மின்னஞ்சல் பாதுகாக்கப்பட்டது]

ஆதாரம்: www.habr.com