अतीत में, प्रमाणपत्र अक्सर समाप्त हो जाते हैं क्योंकि उन्हें मैन्युअल रूप से अपडेट किया जाना था। लोग इसे करना ही भूल गए। लेट्स एनक्रिप्ट के आगमन और एक स्वचालित अपडेट प्रक्रिया के साथ, समस्या हल हो गई लगती है। लेकिन फ़ायरफ़ॉक्स के साथ हाल ही की एक कहानी से पता चलता है कि वास्तव में यह अभी भी प्रासंगिक है। दुर्भाग्य से, प्रमाणपत्र समाप्त होना जारी है।

यदि किसी ने इस कहानी को याद किया, तो लगभग सभी फ़ायरफ़ॉक्स एक्सटेंशन ने अचानक 4 मई 2019 की आधी रात को काम करना बंद कर दिया।

जैसा कि यह निकला, एक बड़ी विफलता उत्पन्न हुई क्योंकि मोज़िला ने उन प्रमाणपत्रों को समाप्त कर दिया था जो एक्सटेंशन पर हस्ताक्षर करने के लिए उपयोग किए गए थे। इसलिए, उन्हें "अमान्य" के रूप में चिह्नित किया गया था और परीक्षण ( तकनीकी विवरण ) पास नहीं किया था। मंचों पर, एक वर्कअराउंड के रूप में, हमने विस्तार संकेतों को सत्यापन में अक्षम करने की सिफारिश की : कॉन्फ़िगर या सिस्टम घड़ी का अनुवाद करके।

मोज़िला ने जल्दी से फ़ायरफ़ॉक्स 66.0.4 पैच जारी किया, जो एक अवैध प्रमाणपत्र के साथ समस्या को हल करता है, और सभी एक्सटेंशन अपने सामान्य रूप में वापस आ जाते हैं। डेवलपर्स इसे इंस्टॉल करने की सलाह देते हैं और हस्ताक्षर सत्यापन को बायपास करने के लिए किसी भी वर्कअराउंड का उपयोग नहीं करते हैं , क्योंकि वे पैच के साथ संघर्ष कर सकते हैं।

हालाँकि, यह कहानी एक बार फिर दिखाती है कि प्रमाणपत्रों की समाप्ति आज एक जरूरी समस्या बनी हुई है।

इस संबंध में, यह एक दिलचस्प तरीके से देखना दिलचस्प है कि DNSCrypt प्रोटोकॉल के डेवलपर्स इस कार्य के साथ कैसे जुड़े। उनके समाधान को दो भागों में विभाजित किया जा सकता है। सबसे पहले, ये अल्पकालिक प्रमाण पत्र हैं। दूसरी बात, उपयोगकर्ताओं को दीर्घकालिक लोगों की समाप्ति के बारे में चेतावनी देना।

DNSCrypt

DNSCrypt - DNS ट्रैफिक एन्क्रिप्शन प्रोटोकॉल। यह DNS संचारों को इंटरसेप्ट्स और MiTM से बचाता है, और आपको DNS क्वेरीज़ के स्तर पर अवरोधन को भी रोक देता है।

प्रोटोकॉल UDP और TCP ट्रांसपोर्ट प्रोटोकॉल पर काम करते हुए क्रिप्टोग्राफ़िक डिज़ाइन में क्लाइंट और सर्वर के बीच DNS ट्रैफ़िक को लपेटता है। इसका उपयोग करने के लिए, क्लाइंट और DNS रिसॉल्वर दोनों को DNSCrypt का समर्थन करना चाहिए। उदाहरण के लिए, मार्च 2016 के बाद से, इसे अपने DNS सर्वरों और यैंडेक्स ब्राउज़र में सक्षम किया गया था। Google और Cloudflare सहित कई अन्य प्रदाताओं द्वारा समर्थन की घोषणा की गई थी। दुर्भाग्य से, उनमें से कई नहीं हैं (152 सार्वजनिक DNS सर्वर आधिकारिक वेबसाइट पर सूचीबद्ध हैं)। लेकिन dnscrypt- प्रॉक्सी प्रोग्राम को लिनक्स, विंडोज और मैकओएस के तहत क्लाइंट पर मैन्युअल रूप से इंस्टॉल किया जा सकता है। सर्वर कार्यान्वयन हैं ।



DNSCrypt कैसे काम करता है? संक्षेप में, ग्राहक चयनित प्रदाता की सार्वजनिक कुंजी लेता है और इसकी सहायता से इसके प्रमाणपत्रों की जांच करता है। पहले से ही सत्र के लिए अल्पकालिक सार्वजनिक कुंजी और सिफर सूट की पहचानकर्ता हैं। ग्राहकों को प्रत्येक अनुरोध के लिए एक नई कुंजी उत्पन्न करने की सलाह दी जाती है, और सर्वर को हर 24 घंटे में चाबियाँ बदलने के लिए प्रोत्साहित किया जाता है। कुंजियों का आदान-प्रदान करते समय, X25519 एल्गोरिथ्म का उपयोग किया जाता है, हस्ताक्षर करने के लिए एडीडीएसए और ब्लॉक एन्क्रिप्शन के लिए XSalsa20-Poly1305 या XChaCha20-Poly1305।

प्रोटोकॉल डेवलपर्स में से एक, फ्रैंक डेनिस लिखते हैं कि हर 24 घंटे में स्वचालित प्रतिस्थापन ने समय सीमा समाप्त प्रमाणपत्रों की समस्या को हल किया। सिद्धांत रूप में, dnscrypt -xy संदर्भ क्लाइंट किसी भी वैधता अवधि के साथ प्रमाण पत्र स्वीकार करता है, लेकिन यह एक चेतावनी प्रदर्शित करता है "इस सर्वर के लिए dnscrypt- प्रॉक्सी कुंजी अवधि बहुत लंबी है" यदि यह 24 घंटे से अधिक समय के लिए मान्य है। उसी समय, एक डॉकर छवि जारी की गई, जिसमें उन्होंने चाबियाँ (और प्रमाण पत्र) के त्वरित परिवर्तन को लागू किया।

सबसे पहले, यह सुरक्षा के लिए अत्यंत उपयोगी है: यदि सर्वर से छेड़छाड़ की जाती है या कुंजी लीक हो जाती है, तो कल के ट्रैफ़िक को डिक्रिप्ट नहीं किया जा सकता है। चाबी पहले ही बदल चुकी है। यह शायद "स्प्रिंग लॉ" के कार्यान्वयन के लिए एक समस्या होगी, जो प्रदाताओं को एन्क्रिप्टेड ट्रैफ़िक सहित सभी ट्रैफ़िक को संग्रहीत करने के लिए मजबूर करता है। यह समझा जाता है कि बाद में साइट से एक कुंजी का अनुरोध करके यदि आवश्यक हो तो इसे डिक्रिप्ट किया जा सकता है। लेकिन इस मामले में, साइट केवल इसे प्रदान करने में सक्षम नहीं होगी, क्योंकि यह पुराने लोगों को हटाते हुए, अल्पकालिक कुंजियों का उपयोग करती है।

लेकिन सबसे महत्वपूर्ण बात, डेनिस लिखता है, पहले ही दिन से स्वचालन को कॉन्फ़िगर करने के लिए अल्पकालिक कुंजी बल सर्वर। यदि सर्वर नेटवर्क से कनेक्ट होता है और कुंजी परिवर्तन स्क्रिप्ट कॉन्फ़िगर नहीं होती है या काम नहीं करती है, तो यह तुरंत पता लगाया जाएगा।

जब स्वचालन हर कुछ वर्षों में चाबियाँ बदलता है, तो आप इस पर भरोसा नहीं कर सकते हैं, और लोग प्रमाणपत्र की समाप्ति के बारे में भूल सकते हैं। एक दैनिक कुंजी परिवर्तन के साथ, यह तुरंत पता लगाया जाएगा।

उसी समय, यदि स्वचालन सामान्य रूप से कॉन्फ़िगर किया गया है, तो इससे कोई फर्क नहीं पड़ता कि चाबियाँ कितनी बार बदली जाती हैं: हर साल, हर तिमाही या दिन में तीन बार। अगर सब कुछ 24 घंटे से अधिक समय तक काम करता है, तो यह हमेशा के लिए काम करेगा, फ्रैंक डेनिस लिखते हैं। उनके अनुसार, प्रोटोकॉल के दूसरे संस्करण में एक दैनिक कुंजी परिवर्तन की सिफारिश, एक तैयार डॉकटर छवि के साथ, जो इसे लागू करता है, सुरक्षा में सुधार करते हुए, समाप्त प्रमाण पत्र के साथ सर्वर की संख्या को प्रभावी ढंग से कम कर देता है।

हालांकि, कुछ प्रदाताओं ने अभी भी कुछ तकनीकी कारणों से, 24 घंटे से अधिक समय तक प्रमाण पत्र की वैधता अवधि निर्धारित करने का निर्णय लिया। यह समस्या मुख्य रूप से dnscrypt- प्रॉक्सी में कोड की कुछ पंक्तियों के साथ हल की गई थी: प्रमाणपत्र समाप्त होने से 30 दिन पहले उपयोगकर्ता को एक सूचनात्मक चेतावनी मिलती है, प्रमाणपत्र समाप्त होने से 7 दिन पहले उच्चतर गंभीरता स्तर वाला एक अन्य संदेश और यदि प्रमाण पत्र रहता है तो एक महत्वपूर्ण संदेश 24 घंटे से कम। यह केवल उन प्रमाणपत्रों पर लागू होता है जो शुरू में एक लंबी वैधता अवधि के होते हैं।

इस तरह के संदेश उपयोगकर्ताओं को आगामी प्रमाणपत्र समाप्ति के DNS ऑपरेटरों को बहुत देर होने से पहले सूचित करने में सक्षम करते हैं।

शायद अगर सभी फ़ायरफ़ॉक्स उपयोगकर्ताओं को ऐसा संदेश प्राप्त होता है, तो किसी ने शायद डेवलपर्स को सूचित किया होगा और उन्होंने प्रमाणपत्र को समाप्त करने की अनुमति नहीं दी होगी। फ्रैंक डेनिस लिखते हैं, "मुझे पिछले दो या तीन वर्षों में सार्वजनिक DNS सर्वरों की सूची में से एक DNSCrypt सर्वर याद नहीं है,"। किसी भी मामले में, उपयोगकर्ताओं को पहले चेतावनी देना बेहतर है, और बिना चेतावनी के एक्सटेंशन बंद न करें।

---