हमने टीएलएस 1.3 को शामिल किया है। आपको वही क्यों करना चाहिए

वर्ष की शुरुआत में, 2018-2019 के लिए समस्याओं और इंटरनेट पहुंच पर रिपोर्ट में, हमने पहले ही लिखा था कि टीएलएस 1.3 का प्रसार अपरिहार्य है। कुछ समय पहले, हमने स्वयं ट्रांसपोर्ट लेयर सिक्योरिटी प्रोटोकॉल के संस्करण 1.3 को तैनात किया था और, डेटा एकत्र करने और उसका विश्लेषण करने के बाद, हम अंत में इस संक्रमण की विशेषताओं के बारे में बात करने के लिए तैयार हैं।

IETF TLS कार्य समूह के अध्यक्ष लिखते हैं :
"संक्षेप में, टीएलएस 1.3 को अगले 20 वर्षों के लिए अधिक सुरक्षित और कुशल इंटरनेट की नींव प्रदान करनी चाहिए।"

टीएलएस 1.3 के विकास में 10 साल का लंबा समय लगा। हम Qrator Labs में, बाकी उद्योग के साथ, प्रारंभिक परियोजना से प्रोटोकॉल बनाने की प्रक्रिया का बारीकी से पालन कर रहे हैं। इस समय के दौरान, मसौदे के लगातार 28 संस्करणों को लिखना आवश्यक था, ताकि अंत में, 2019 में, एक संतुलित और आसान करने वाला प्रोटोकॉल जारी किया गया। बाजार द्वारा टीएलएस 1.3 का सक्रिय समर्थन पहले से ही स्पष्ट है: एक सिद्ध और विश्वसनीय सुरक्षा प्रोटोकॉल का कार्यान्वयन समय की आवश्यकताओं को पूरा करता है।

द रजिस्टर के साथ एक साक्षात्कार में एरिक रेसकोरला (फ़ायरफ़ॉक्स के सीटीओ और टीएलएस 1.3 के एकमात्र लेखक) के अनुसार:

"यह एक ही कुंजी और प्रमाण पत्र का उपयोग करते हुए टीएलएस 1.2 के लिए एक पूर्ण प्रतिस्थापन है, इसलिए क्लाइंट और सर्वर स्वचालित रूप से टीएलएस 1.3 पर संवाद कर सकते हैं यदि दोनों इसका समर्थन करते हैं," उन्होंने कहा। "पहले से ही अच्छा पुस्तकालय समर्थन है, और क्रोम और फ़ायरफ़ॉक्स में डिफ़ॉल्ट रूप से टीएलएस 1.3 शामिल है।"

इसी समय, IETF TLS कार्य समूह एक RFC तैयार कर रहा है जो TLS के पुराने संस्करणों (केवल TLS 1.2 के अपवाद के साथ) को अप्रचलित और अनुपयोगी घोषित करता है। सबसे अधिक संभावना है, अंतिम आरएफसी गर्मियों की समाप्ति से पहले जारी किया जाएगा। यह आईटी उद्योग का एक और संकेत है: एन्क्रिप्शन प्रोटोकॉल अपडेट करना स्थगित नहीं किया जाना चाहिए।

टीएलएस 1.3 के वर्तमान कार्यान्वयन की सूची सबसे उपयुक्त पुस्तकालय की तलाश में किसी के लिए जीथब पर उपलब्ध है: https://github.com/tlswg/tls13-spec/wiki/Implementations । जाहिर है, अद्यतन प्रोटोकॉल को अपनाना और समर्थन करना - और पहले से ही त्वरित चरणों में चल रहा है। यह समझना कि आधुनिक दुनिया में मौलिक एन्क्रिप्शन कैसे व्यापक रूप से फैल गया है।

टीएलएस 1.2 की तुलना में क्या बदल गया है?

इंटरनेट सोसाइटी नोट से :
"टीएलएस 1.3 दुनिया को बेहतर स्थान कैसे देता है?"

टीएलएस 1.3 में कुछ तकनीकी फायदे शामिल हैं - जैसे कि एक सुरक्षित कनेक्शन स्थापित करने के लिए एक सरलीकृत हैंडशेक प्रक्रिया - और ग्राहकों को सर्वर के साथ सत्रों को तेजी से फिर से शुरू करने की अनुमति देता है। इन उपायों को कनेक्शन देरी और कमजोर चैनलों पर विफल कनेक्शन की संख्या को कम करने के लिए डिज़ाइन किया गया है, जिन्हें अक्सर केवल अनएन्क्रिप्टेड HTTP कनेक्शन प्रदान करने के लिए एक बहाने के रूप में उपयोग किया जाता है।

समान रूप से महत्वपूर्ण, कई विरासत और असुरक्षित एन्क्रिप्शन और हैश एल्गोरिदम के लिए समर्थन जो अभी भी अनुमत हैं (हालांकि अनुशंसित नहीं हैं) को टीएलएस के पुराने संस्करणों के साथ उपयोग करने के लिए, जिनमें SHA-1, MD5, DES, 3DES और AES-CBC शामिल हैं। नए सिफर स्वीट्स के लिए समर्थन जोड़ने के दौरान। अन्य संवर्द्धन में अधिक एन्क्रिप्टेड हैंडशेक तत्व शामिल हैं (उदाहरण के लिए, प्रमाण पत्र सूचना विनिमय अब ​​एन्क्रिप्ट किया गया है) एक संभावित ट्रैफ़िक इंटरसेप्टर को संकेत की मात्रा को कम करने के लिए, साथ ही कुछ महत्वपूर्ण एक्सचेंज मोड का उपयोग करते समय आगे की गोपनीयता में सुधार, ताकि सभी समय पर संचार बना रहे। "सुरक्षित, भले ही एन्क्रिप्ट करने के लिए उपयोग किए जाने वाले एल्गोरिदम भविष्य में समझौता करेंगे।"

आधुनिक प्रोटोकॉल और DDoS का विकास

जैसा कि आप पहले से ही पढ़ चुके हैं, प्रोटोकॉल के विकास के दौरान और उसके बाद भी , IETF TLS कार्य समूह में गंभीर विरोधाभास पैदा हुए। यह अब स्पष्ट है कि व्यक्तिगत उद्यमों (वित्तीय संस्थानों सहित) को अपने स्वयं के नेटवर्क को सुरक्षित करने के तरीके को बदलना होगा ताकि वे आगे के लिए सही गोपनीयता गोपनीयता प्रोटोकॉल के अनुकूल हो सकें।

जिन कारणों से यह आवश्यक हो सकता है, उन्हें स्टीव फ़ेंटर द्वारा लिखित एक पेपर में उल्लिखित किया गया है। 20-पृष्ठ के पेपर में कई उदाहरणों का उल्लेख किया गया है, जहां कोई उद्यम, विनियामक आवश्यकताओं का पालन करने, या आवेदन स्तर (L7) पर DDoS हमलों से सुरक्षा प्रदान करने के लिए आउट-ऑफ-बैंड ट्रैफ़िक (जो PFS अनुमति नहीं देता) को डिक्रिप्ट करना चाहता हो सकता है।



यद्यपि हम निश्चित रूप से विनियामक आवश्यकताओं के बारे में बात करने के लिए तैयार नहीं हैं, हमारे अपने उत्पाद को लागू DDoS हमलों को निष्क्रिय करने के लिए है (एक समाधान जिसमें संवेदनशील और / या गोपनीय जानकारी के प्रकटीकरण की आवश्यकता नहीं है ) 2012 में पीएफएस को ध्यान में रखकर बनाया गया था, इसलिए हमारे ग्राहकों और भागीदारों में कोई बदलाव नहीं हुआ है। सर्वर-साइड टीएलएस संस्करण को अपग्रेड करने के बाद, उनके बुनियादी ढांचे की आवश्यकता नहीं थी।

इसके अलावा, कार्यान्वयन के समय से, परिवहन एन्क्रिप्शन से जुड़ी कोई भी समस्या की पहचान नहीं की गई है। आधिकारिक तौर पर: उत्पादन में उपयोग के लिए टीएलएस 1.3 तैयार है।

हालांकि, अगली पीढ़ी के प्रोटोकॉल के विकास से जुड़ी एक समस्या अभी भी है। यह इस तथ्य में शामिल है कि आमतौर पर IETF में प्रोटोकॉल के विकास में प्रगति वैज्ञानिक अनुसंधान के परिणामों पर अत्यधिक निर्भर है, और सेवा हमलों के वितरण से इनकार को बेअसर करने के उद्योग में शैक्षणिक अनुसंधान की स्थिति बहुत ही निराशाजनक है।

इसलिए, एक अच्छा उदाहरण IETF ड्राफ्ट "QUIC प्रबंधनीयता" की धारा 4.4 है , जो भविष्य के QUIC प्रोटोकॉल सूट का हिस्सा है: इसमें कहा गया है कि "[DDoS हमलों] का पता लगाने और उन्हें बेअसर करने के लिए आधुनिक तरीकों में आमतौर पर निष्क्रिय उपयोग शामिल हैं" नेटवर्क प्रवाह पर डेटा। "

उत्तरार्द्ध, वास्तव में, वास्तविक कॉर्पोरेट वातावरण में बहुत दुर्लभ है (और केवल आंशिक रूप से इंटरनेट प्रदाताओं के लिए लागू होता है), और किसी भी मामले में शायद ही वास्तविक दुनिया में एक "सामान्य मामला" है - लेकिन यह लगातार वैज्ञानिक प्रकाशनों में दिखाई देता है, आमतौर पर परीक्षण द्वारा समर्थित नहीं है अनुप्रयोग स्तर के हमलों सहित संभावित DDoS हमलों के पूरे स्पेक्ट्रम। कम से कम टीएलएस की वैश्विक तैनाती के आधार पर, नेटवर्क पैकेट और प्रवाह के निष्क्रिय माप से स्पष्ट रूप से पता नहीं लगाया जा सकता है।

इसी तरह, हम अभी तक नहीं जानते हैं कि डीडीओएस के न्यूट्रलाइजेशन उपकरण निर्माता टीएलएस 1.3 की वास्तविकताओं के अनुकूल कैसे होंगे। आउट-ऑफ-बैंड प्रोटोकॉल का समर्थन करने की तकनीकी जटिलता के कारण, इसे अपग्रेड करने में कुछ समय लग सकता है।

अनुसंधान के लिए सही लक्ष्यों को निर्धारित करना डीडीओएस बेअसर सेवा प्रदाताओं के लिए एक बड़ी चुनौती है। एक क्षेत्र जहां विकास शुरू हो सकता है वह है IRTF में SMART शोध दल , जहां शोधकर्ता उद्योग के साथ काम कर सकते हैं ताकि समस्या उद्योग के अपने ज्ञान को परिष्कृत किया जा सके और नए शोध निर्देश मिल सकें। हम सभी शोधकर्ताओं का गर्मजोशी से स्वागत करने के लिए भी तैयार हैं, यदि कोई भी पाया जाता है। आप हमसे डीडीओएस अध्ययन से संबंधित प्रश्न या सुझाव या rnd@qrator.net पर स्मार्ट अनुसंधान समूह के साथ संपर्क कर सकते हैं।