Шарҳ тарчумон: барои осонии хонандагон санахо бо вакти Москва оварда шудаанд
Мо ба наздикӣ гузаштани мӯҳлати яке аз сертификатҳоеро, ки барои имзои изофаҳо истифода мешуданд, аз даст додем. Ин боиси он шуд, ки изофаҳо барои корбарон ғайрифаъол шуданд. Ҳоло, ки мушкилот асосан ҳал шудааст, ман мехостам ҷузъиёти ҳодиса ва корҳои анҷомдодашударо нақл кунам.
Маълумот: иловаҳо ва имзоҳо
Иловаҳои насбшуда бояд дошта бошанд имзои рақамӣ, ки корбаронро аз изофаҳои зараровар муҳофизат мекунад ва аз ҷониби кормандони Mozilla азназаргузаронии ҳадди ақали изофаҳоро талаб мекунад. Мо ин талаботро дар соли 2015 ҷорӣ кардем, зеро мо аз сар мегузарондем мушкилоти ҷиддӣ бо иловаҳои зараровар.
Чӣ тавр кор мекунад: Ҳар як нусхаи Firefox дорои "шаҳодатномаи решавӣ" мебошад. Калиди ин "реша" дар он нигоҳ дошта мешавад Модули амнияти сахтафзор (HSM)бе дастрасии шабака. Ҳар чанд сол бо ин калид "шаҳодатномаи мобайнӣ"-и нав имзо мешавад, ки ҳангоми имзои изофаҳо истифода мешавад. Вақте ки таҳиякунанда иловаро пешниҳод мекунад, мо "шаҳодатномаи ниҳоӣ"-и муваққатӣ эҷод мекунем ва онро бо истифода аз сертификати фосилавӣ имзо мекунем. Пас аз он худи замимаҳо бо сертификати ниҳоӣ имзо карда мешаванд. Ба таври схематикй чунин менамояд.
Лутфан таваҷҷӯҳ намоед, ки ҳар як сертификат дорои "мавзӯъ" (шаҳодатнома ба ӯ дода шудааст) ва "эмитент" (ки шаҳодатнома додааст) дорад. Дар мавриди сертификати реша, "мавзӯъ" = "эмитент", аммо барои сертификатҳои дигар, эмитенти сертификат мавзӯи шаҳодатномаи волидайн мебошад, ки бо он имзо шудааст.
Нуктаи муҳим: ҳар як изофа бо шаҳодатномаи ягонаи ниҳоӣ имзо карда мешавад, аммо қариб ҳамеша ин шаҳодатномаҳои ниҳоӣ бо ҳамон як сертификати мобайнӣ имзо карда мешаванд.
Эзоҳи муаллиф: Истисно иловаҳои хеле кӯҳна мебошанд. Дар он вақт шаҳодатномаҳои гуногуни мобайнӣ истифода мешуданд.
Ин сертификати мобайнӣ боиси мушкилот гардид: ҳар як шаҳодатнома дар муддати муайян эътибор дорад. Пеш аз ин ё баъд аз ин мӯҳлат, сертификат беэътибор аст ва браузер иловаҳои бо ин сертификат имзошударо истифода намебарад. Мутаассифона, мухлати шаходатномаи мобайнй 4 май соати 4 пагохй ба охир расид.
Оқибатҳо фавран пайдо нашуданд. Firefox имзоҳои иловаҳои насбшударо на ҳамеша, балки тақрибан як маротиба дар 24 соат тафтиш мекунад ва вақти санҷиш барои ҳар як корбар инфиродӣ аст. Дар натиҷа, баъзе одамон дарҳол мушкилотро аз сар мегузаронанд, дар ҳоле ки дигарон хеле дертар мушкилот доштанд. Мо бори аввал дар бораи мушкилот дар вақти ба итмом расидани мӯҳлати сертификат огоҳ шудем ва фавран ба ҷустуҷӯи роҳи ҳалли он шурӯъ кардем.
Кам кардани зарар
Вақте ки мо фаҳмидем, ки чӣ шуд, мо кӯшиш кардем, ки вазъиятро бадтар кунем.
Аввалан, онҳо қабул ва имзои иловаҳои навро қатъ карданд. Барои ин истифодаи сертификати мӯҳлаташ гузашта ҳеҷ маъно надорад. Ба қафо нигариста, мегуфтам, ки мо метавонистем ҳама чизро ҳамон тавре ки ҳастем, гузорем. Мо ҳоло қабули иловаҳоро дубора оғоз кардем.
Сониян, онҳо фавран як ислоҳро фиристоданд, ки ҳар рӯз тафтиши имзоҳоро пешгирӣ мекунад. Ҳамин тариқ, мо он корбаронеро наҷот додем, ки браузери онҳо дар давоми XNUMX соати охир барои тафтиши замимаҳо фурсат надоштанд. Ин ислоҳ ҳоло бозхонда шудааст ва дигар лозим нест.
Амалиёти параллелӣ
Дар назария, ҳалли мушкилот оддӣ ба назар мерасад: як сертификати нави миёнарав эҷод кунед ва ҳар як изофаро дубора имзо кунед. Мутаассифона, ин кор намекунад:
- мо якбора 15 хазор замимаро зуд аз нав имзо карда наметавонем, система барои чунин бор пешбинй нашудааст
- Пас аз имзо кардани иловаҳо, версияҳои навшуда бояд ба корбарон расонида шаванд. Аксари изофаҳо аз серверҳои Mozilla насб карда мешаванд, аз ин рӯ Firefox дар давоми XNUMX соати оянда навсозиҳоро пайдо мекунад, аммо баъзе таҳиягарон иловаҳои имзошударо тавассути каналҳои тарафи сеюм паҳн мекунанд, аз ин рӯ корбарон бояд ин иловаҳоро дастӣ навсозӣ кунанд.
Ба ҷои ин, мо кӯшиш кардем, ки ислоҳеро таҳия кунем, ки ба ҳама корбарон дастрас шавад, бе он ки аз ҷониби онҳо амалҳои зиёд ё тамоман талаб карда нашавад.
Мо хеле зуд ба ду стратегияи асосӣ расидем, ки мо дар баробари онҳо истифода мебурдем:
- Firefox-ро навсозӣ кунед, то мӯҳлати эътибори сертификатро тағир диҳед. Ин иловаҳои мавҷударо дубора ба таври ҷодугарӣ кор мекунанд, аммо баровардан ва интиқол додани сохтори нави Firefox-ро талаб мекунад
- Шаҳодатномаи дурустро тавлид кунед ва Firefox-ро ба ҷои шаҳодатномаи мавҷуда, ки мӯҳлати эътибораш гузаштааст, қабул кунад
Мо тасмим гирифтем, ки аввал варианти аввалро истифода барем, ки хеле қобили кор буд. Дар охири рӯз, онҳо ислоҳи дуюмро (шаҳодатномаи нав) бароварданд, ки мо дертар дар бораи он сӯҳбат хоҳем кард.
Иваз кардани сертификат
Тавре ки ман дар боло зикр кардам, зарур буд:
- шаҳодатномаи нави эътибор эҷод кунед
- онро дар Firefox дурдаст насб кунед
Барои фаҳмидани он, ки чаро ин кор мекунад, биёед ба раванди санҷиши изофӣ бодиққат назар кунем. Худи изофа ҳамчун маҷмӯи файлҳо, аз ҷумла силсилаи сертификатҳое, ки барои имзо истифода мешаванд, меояд. Дар натиҷа, иловаро метавон тафтиш кард, агар браузер шаҳодатномаи решаро донад, ки дар вақти сохтан дар Firefox сохта шудааст. Аммо, тавре ки мо аллакай медонем, мӯҳлати сертификати мобайнӣ гузаштааст, бинобар ин тафтиш кардани илова имконнопазир аст.
Вақте ки Firefox кӯшиш мекунад, ки иловаро тафтиш кунад, он бо истифодаи сертификатҳое, ки дар худи замимаҳо мавҷуданд, маҳдуд намешавад. Ба ҷои ин, браузер кӯшиш мекунад, ки занҷири дурусти шаҳодатномаҳоро эҷод кунад, ки аз сертификати ниҳоӣ сар карда, то ба реша расидан идома меёбад. Дар сатҳи аввал, мо аз шаҳодатномаи ниҳоӣ оғоз мекунем ва сипас сертификатеро пайдо мекунем, ки мавзӯи он эмитенти сертификати ниҳоӣ (яъне шаҳодатномаи мобайнӣ) мебошад. Одатан, ин сертификати мобайнӣ бо замима дода мешавад, аммо ҳама гуна сертификат аз анбори браузер низ метавонад ҳамчун ин шаҳодатномаи мобайнӣ хизмат кунад. Агар мо метавонем аз фосилаи дур ба мағозаи сертификатҳо шаҳодатномаи нави дуруст илова кунем, Firefox кӯшиш мекунад, ки онро истифода барад. Вазъият пеш аз ва баъд аз насб кардани шаҳодатномаи нав.
Пас аз насб кардани шаҳодатномаи нав, Firefox ҳангоми тасдиқи занҷири сертификатҳо ду имконот дорад: шаҳодатномаи кӯҳнаи беэътиборро истифода баред (ки кор намекунад) ё шаҳодатномаи нави амалкунанда (кор мекунад). Муҳим он аст, ки шаҳодатномаи нав дорои ҳамон номи мавзӯъ ва калиди кушодаи шаҳодатномаи кӯҳна мебошад, бинобар ин имзои он дар сертификати ниҳоӣ эътибор дорад. Firefox ба қадри кофӣ оқил аст, ки ҳарду интихобро санҷад, то он даме, ки яке аз онҳо кор мекунад, аз ин рӯ иловаҳо дубора санҷида мешаванд. Аҳамият диҳед, ки ин ҳамон мантиқест, ки мо барои тасдиқи сертификатҳои TLS истифода мебарем.
Эзоҳи муаллиф: Хонандагоне, ки бо WebPKI шиносанд, қайд мекунанд, ки сертификатҳои кросс-сертификатҳо маҳз ҳамин тавр кор мекунанд.
Бартарии ин ислоҳ дар он аст, ки он аз шумо дубора имзо кардани замимаҳои мавҷударо талаб намекунад. Ҳамин ки браузер шаҳодатномаи навро мегирад, ҳама замимаҳо дубора кор мекунанд. Мушкилоти боқимонда расонидани сертификати нав ба корбарон (ба таври худкор ва фосилавӣ) ва инчунин гирифтани Firefox барои аз нав тафтиш кардани иловаҳои ғайрифаъол мебошад.
Нормандия ва системаи тадқиқот
Аҷиб аст, ки ин мушкилот бо иловаи махсус бо номи "система" ҳал карда мешавад. Барои гузаронидани тадқиқот мо системаеро бо номи Нормандия таҳия кардем, ки тадқиқотро ба корбарон мерасонад. Ин тадқиқотҳо ба таври худкор дар браузер анҷом дода мешаванд ва дастрасии беҳтар ба API-ҳои дохилии Firefox доранд. Тадқиқот метавонад ба мағозаи сертификатҳо шаҳодатномаҳои нав илова кунад.
Эзоҳи муаллиф: Мо сертификатеро бо ягон имтиёзи махсус илова намекунем; он бо сертификати реша имзо шудааст, бинобар ин Firefox ба он эътимод дорад. Мо онро танҳо ба ҳавзи сертификатҳое, ки аз ҷониби браузер истифода мешаванд, илова мекунем.
Ҳамин тавр, ҳалли он эҷод кардани тадқиқот аст:
- насб кардани сертификати наве, ки мо барои корбарон офаридаем
- браузерро маҷбур мекунад, ки иловаҳои ғайрифаъолро дубора тафтиш кунад, то онҳо дубора кор кунанд
"Аммо интизор шавед," шумо мегӯед, "иловаҳо кор намекунанд, ман чӣ гуна метавонам иловаи системаро оғоз кунам?" Биёед онро бо шаҳодатномаи нав имзо кунем!
Ҳама чизро якҷоя кардан... чаро ин қадар тӯл мекашад?
Ҳамин тариқ, нақша: додани шаҳодатномаи нав барои иваз кардани шаҳодатномаи кӯҳна, сохтани иловаи система ва насб кардани он ба корбарон тавассути Нормандия. Мушкилот, тавре ки ман гуфтам, 4 май соати 4:00 оғоз ёфт ва аллакай соати 12:44-и ҳамон рӯз, камтар аз 9 соат, мо ба Нормандия ислоҳ фиристодем. Барои ба ҳама корбарон расидан 6-12 соати дигар лозим шуд. Аслан бад нест, аммо одамон дар Твиттер мепурсанд, ки чаро мо тезтар амал карда наметавонистем.
Аввалан, барои додани шаҳодатномаи нави мобайнӣ вақт лозим буд. Тавре ки ман дар боло зикр кардам, калиди сертификати реша дар модули амнияти сахтафзор офлайн нигоҳ дошта мешавад. Ин аз нуқтаи назари амният хуб аст, зеро реша хеле кам истифода мешавад ва бояд боэътимод ҳифз карда шавад, аммо вақте ки ба шумо фавран сертификати нав имзо кардан лозим аст, каме нороҳат аст. Яке аз муҳандисони мо маҷбур шуд, ки ба анбори HSM сафар кунад. Пас аз он кӯшишҳои бемуваффақият барои додани шаҳодатномаи дуруст вуҷуд доштанд ва ҳар як кӯшиш барои санҷиш як ё ду соат сарф мешуд.
Сониян, таҳияи замимаи система каме вақт гирифт. Консепсия ин хеле содда аст, аммо ҳатто барномаҳои оддӣ нигоҳубинро талаб мекунанд. Мо мехостем боварӣ ҳосил кунем, ки вазъиятро бадтар накунем. Пеш аз фиристодан ба корбарон тадқиқот бояд санҷида шавад. Илова бар ин, изофа бояд имзо карда шавад, аммо системаи имзои иловагии мо ғайрифаъол шуд, бинобар ин мо маҷбур шудем, ки роҳи ҳалро пайдо кунем.
Ниҳоят, вақте ки мо тадқиқотро барои пешниҳод омода кардем, ҷойгиркунӣ вақт гирифт. Браузер ҳар 6 соат навсозиҳои Нормандиро тафтиш мекунад. На ҳама компютерҳо ҳамеша фаъоланд ва ба Интернет пайвастанд, аз ин рӯ барои паҳн кардани ислоҳ ба корбарон вақт лозим аст.
Қадамҳои ниҳоӣ
Тадқиқот бояд мушкилотро барои аксари корбарон ҳал кунад, аммо барои ҳама дастрас нест. Баъзе корбарон муносибати махсусро талаб мекунанд:
- истифодабарандагоне, ки тадқиқот ё телеметрияро хомӯш кардаанд
- истифодабарандагони версияи Android (Fennec), ки дар он тадқиқот умуман дастгирӣ намешавад
- истифодабарандагони сохторҳои фармоишии Firefox ESR дар корхонаҳое, ки телеметрия имконнопазир аст
- корбароне, ки дар паси проксиҳои MitM нишастаанд, зеро системаи насби иловагии мо pinning калидҳоро истифода мебарад, ки бо чунин проксиҳо кор намекунад
- истифодабарандагони версияҳои кӯҳнаи Firefox, ки тадқиқотро дастгирӣ намекунанд
Мо дар бораи категорияи охирини корбарон коре карда наметавонем - онҳо бояд то ҳол ба версияи нави Firefox навсозӣ кунанд, зеро версияҳои кӯҳна осебпазирии ҷиддии номатлуб доранд. Мо медонем, ки баъзе одамон дар версияҳои кӯҳнаи Firefox мемонанд, зеро онҳо мехоҳанд замимаҳои кӯҳнаро иҷро кунанд, аммо бисёре аз замимаҳои кӯҳна аллакай ба версияҳои нави браузер интиқол дода шудаанд. Барои корбарони дигар, мо як ямоқи таҳия кардем, ки сертификати навро насб мекунад. Он ҳамчун версияи ислоҳи хатогиҳо бароварда шуд (ёддошти тарҷумон: Firefox 66.0.5), аз ин рӯ одамон онро ба даст хоҳанд овард - эҳтимолан аллакай онро гирифтаанд - тавассути канали навсозии муқаррарӣ. Агар шумо сохтани фармоишии Firefox ESR-ро истифода баред, лутфан бо нигоҳдории худ тамос гиред.
Мо мефаҳмем, ки ин идеал нест. Дар баъзе ҳолатҳо, корбарон маълумоти иловагиро гум мекунанд (масалан, маълумоти иловагӣ Зарфҳои бисёрҳисобӣ).
Ин таъсири тарафро пешгирӣ кардан мумкин нест, аммо мо боварӣ дорем, ки дар муддати кӯтоҳ мо барои аксари корбарон роҳи беҳтаринро интихоб кардем. Дар дарозмуддат, мо усулҳои дигари пешрафтаи меъмориро ҷустуҷӯ хоҳем кард.
Дарсҳо
Аввалан, дастаи мо дар тӯли камтар аз 12 соат пас аз ошкор шудани мушкилот кори аҷиберо эҷод ва интиқол дод. Ман хамчун шахсе, ки дар мачлисхо иштирок дошт, гуфта метавонам, ки дар ин вазъияти душвор одамон бисьёр мехнат карданд ва вакти хеле кам бехуда рафт.
Равшан аст, ки ҳеҷ кадоме аз ин набояд рӯй диҳад. Барои кам кардани эҳтимолияти чунин ҳодисаҳо ва осон кардани ислоҳот равандҳои моро танзим кардан бамаврид аст.
Ҳафтаи оянда мо расман пас аз марг ва рӯйхати тағйиротеро, ки мо ният дорем, нашр хоҳем кард. Ҳоло ман фикрҳои худро мубодила мекунам. Аввалан, бояд роҳи беҳтари назорат кардани ҳолати бомбаи эҳтимолӣ мавҷуд бошад. Мо бояд боварй дошта бошем, ки мо ба вазъияте дучор нашавем, ки яке аз онхо ногахон кор кунад. Мо дануз тафсилотро кор карда истодаем, вале камаш, хамаи ин чизхоро ба назар гирифтан лозим аст.
Дуюм, ба мо механизме лозим аст, ки навсозиҳоро ба корбарон зуд интиқол диҳем, ҳатто вақте ки - хусусан вақте ки ҳама чизи дигар ноком мешавад. Ин хеле хуб буд, ки мо тавонистем системаи "тадқиқот"-ро истифода барем, аммо он асбоби нокомил аст ва баъзе таъсири манфии номатлуб дорад. Аз ҷумла, мо медонем, ки бисёре аз корбарон навсозиҳои автоматиро фаъол кардаанд, аммо намехоҳанд дар таҳқиқот ширкат накунанд (ман эътироф мекунам, ки ман онҳоро низ хомӯш кардаам!). Ҳамзамон, ба мо роҳи фиристодани навсозиҳо ба корбарон лозим аст, аммо новобаста аз татбиқи дохилии техникӣ, корбарон бояд тавонанд ба навсозиҳо (аз ҷумла ислоҳҳои гарм) обуна шаванд, аммо аз ҳама чизи дигар даст кашанд. Илова бар ин, канали навсозӣ бояд нисбат ба ҳозира бештар ҷавобгӯ бошад. Ҳатто дар рӯзи 6 май ҳам корбароне буданд, ки на аз ислоҳ ва на версияи нав истифода накарданд. Дар болои ин масъала аллакай кор карда шуда буд, вале вокеаи руйдоддо нишон дод, ки он то чй андоза мухим аст.
Ниҳоят, мо меъмории амнияти иловагиро бодиққат дида мебароем, то боварӣ ҳосил кунем, ки он сатҳи дурусти амниятро бо хатари ҳадди ақали шикастани чизе таъмин мекунад.
Ҳафтаи оянда мо ба натиҷаҳои таҳлили дақиқтари ҳодисаи рухдода назар хоҳем кард, аммо дар ин миён ман бо омодагӣ ба саволҳо тавассути почтаи электронӣ посух хоҳам дод: [почтаи электронӣ ҳифз карда шудааст]
Манбаъ: linux.org.ru