From 8fafe32b1788cb579e357c4fad54ec039d600677 Mon Sep 17 00:00:00 2001
From: Sergey Matveev <stargrave@stargrave.org>
Date: Wed, 1 Nov 2023 13:34:25 +0300
Subject: [PATCH] =?utf8?q?=D0=94=D0=BE=D0=B2=D0=B5=D1=80=D0=B8=D0=B5=20?=
 =?utf8?q?=D0=BA=20CA=20=D0=BF=D0=BE=D1=81=D0=BB=D0=B5=20MitM-=D0=B0=20?=
 =?utf8?q?=D0=BD=D0=B0=20jabber.ru/xmpp.ru?=
MIME-Version: 1.0
Content-Type: text/plain; charset=utf8
Content-Transfer-Encoding: 8bit

https://dxdt.ru/2023/11/01/11377/
http://stolyarov.info/node/404
https://mjg59.dreamwidth.org/66907.html
Ð 62233ed8f4fd2f9625cde5f3058b33eb36dc99b6 ÑÐ¿Ð¾Ð¼Ð¸Ð½Ð°Ð» Ð¾ Ð½Ð°ÑÑÐ¼ÐµÐ²ÑÐµÐ¼
Ð¾Ð±Ð½Ð°ÑÑÐ¶ÐµÐ½Ð½Ð¾Ð¼ ÑÐ°ÐºÑÐµ MitM-Ð° Ð½Ð° jabber.ru/xmpp.ru ÑÐµÑÐ²ÐµÑÑ. Ð¯ Ð¸Ð·Ð²ÐµÑÑÐ½ÑÐ¹ Ð½Ðµ
ÑÑÐ¾ÑÐ¾Ð½Ð½Ð¸Ðº PKI Ð¸ Ð²ÑÐµÐ³Ð¾ Ð¿Ð¾Ð´Ð¾Ð±Ð½Ð¾Ð³Ð¾, Ð½Ð¾ Ð´Ð°Ð¶Ðµ Ñ Ð½Ðµ Ð³Ð¾Ð²Ð¾ÑÑ ÑÑÐ¾ Let's Encrypt
ÑÑÑ Ð±ÑÐ» ÑÐµÐ¼-ÑÐ¾ Ð²Ð¸Ð½Ð¾Ð²Ð°Ñ. ÐÐµÑÐ½Ð¾ Ð°Ð²ÑÐ¾Ñ Ð¿ÐµÑÐ²Ð¾Ð¹ ÑÑÐ°ÑÑÐ¸ Ð·Ð°Ð¼ÐµÑÐ°ÐµÑ, ÑÑÐ¾:

    âÑÐ¸ÑÑÐµÐ¼Ð° ÑÐ¾ÑÐ¾ÑÐ¾ Ð¸Ð·Ð²ÐµÑÑÐ½ÑÑ Ð£Ð¦â Ð¸ ÑÐ°Ð½ÑÑÐµ Ð´Ð¾Ð»Ð¶Ð½Ð° Ð±Ñ âÐ²ÑÐ·ÑÐ²Ð°ÑÑ Ð´Ð¾Ð²ÐµÑÐ¸Ðµâ
    ÑÐ°Ð²Ð½Ð¾ Ð² Ð¿ÑÐµÐ´ÐµÐ»Ð°Ñ ÑÐ°Ð·ÑÐ¼Ð½Ð¾Ð¹ Ð¼Ð¾Ð´ÐµÐ»Ð¸ ÑÐ³ÑÐ¾Ð·, ÑÐ¾ ÐµÑÑÑ â Ð´Ð¾Ð²ÐµÑÑÑÑ ÐµÐ¹ Ð¼Ð¾Ð¶Ð½Ð¾
    ÑÐ¾Ð»ÑÐºÐ¾ Ð² ÑÑÐ³ÑÐ±Ð¾ Ð¾Ð¿ÑÐµÐ´ÐµÐ»ÑÐ½Ð½ÑÑ, ÑÐ·ÐºÐ¸Ñ ÑÐ»ÑÑÐ°ÑÑ

ÐÑÐµÐ¾Ð±Ð»Ð°Ð´Ð°ÑÑÐ°Ñ ÑÐ°ÑÑÑ X.509 ÑÐµÑÑÐ¸ÑÐ¸ÐºÐ°ÑÐ¾Ð² Ð² WWW ÑÑÐ¾ ÑÐ°Ðº Ð½Ð°Ð·ÑÐ²Ð°ÐµÐ¼ÑÐµ "DV"
(domain validated). Ð§ÑÐ¾ Ð¾Ð½Ð¸ (Ð¸Ð»Ð¸ Ð£Ð¦) Ð°ÑÑÐµÐ½ÑÐ¸ÑÐ¸ÑÐ¸ÑÑÑÑ? Ð¢Ð¾, ÑÑÐ¾ ÑÑÐ°ÑÐ¸Ðº Ð´Ð¾
Ð·Ð°Ð´Ð°Ð½Ð½Ð¾Ð³Ð¾ Ð´Ð¾Ð¼ÐµÐ½Ð° (Ð´Ð¾ Ð·Ð°Ð´Ð°Ð½Ð½ÑÑ resolved IP) Ð¸Ð´ÑÑ Ð¸ Ð°Ð²ÑÐ¾Ñ Ð¸Ð¼ÐµÐµÑ Ð½Ð°Ð´ Ð½Ð¸Ð¼Ð¸
ÐºÐ°ÐºÐ¾Ð¹-ÑÐ¾ ÐºÐ¾Ð½ÑÑÐ¾Ð»Ñ. Ð­ÑÐ¾ Ð½Ðµ Ð¸ÑÐºÐ»ÑÑÐ°ÐµÑ Ð½Ð°Ð»Ð¸ÑÐ¸Ñ Ð²Ð»Ð¸ÑÐ½Ð¸Ñ ÑÐ¾ÑÑÐµÑÐ°/Ð¿ÑÐ¾Ð²Ð°Ð¹Ð´ÐµÑÐ°
Ð¸Ð»Ð¸ Ð¿Ð¾Ð´Ð¼ÐµÐ½Ñ DNS Ð·Ð°Ð¿Ð¸ÑÐµÐ¹.

ÐÐ½Ð¾Ð³Ð¾ Ð³Ð¾Ð²Ð¾ÑÐ¸Ð»Ð¸ ÑÑÐ¾ Ð¼Ð½Ð¾Ð³Ð¾Ðµ ÑÐµÐ³Ð¾ ÑÐµÑÐ°ÐµÑ Certificate Transparency. Ð ÑÑÐ¾ Ð¾Ð½
ÑÐµÑÐ°ÐµÑ? ÐÑ Ð²Ð¾Ñ Ð±Ð»Ð°Ð³Ð¾Ð´Ð°ÑÑ Ð½ÐµÐ¼Ñ Ð¼Ñ ÑÐ²Ð¸Ð´ÐµÐ»Ð¸ ÑÑÐ¾ Ð±ÑÐ»Ð¸ Ð²ÑÐ¿ÑÑÐµÐ½Ñ ÐºÐ°Ðº-Ð±Ñ Ð½Ðµ
Ð»ÐµÐ³Ð¸ÑÐ¸Ð¼Ð½ÑÐµ ÑÐµÑÑÐ¸ÑÐ¸ÐºÐ°ÑÑ MitM-Ð¾Ð¼. ÐÐ±Ð½Ð°ÑÑÐ¶Ð¸Ð»Ð¸ ÑÑÐ¾. ÐÐ°Ð»ÑÑÐµ ÑÐ¾ ÑÑÐ¾? ÐÐ¾Ð»ÐµÐµ
ÑÐ¾Ð³Ð¾, ÑÑÐ¾ Ð¾Ð±Ð½Ð°ÑÑÐ¶Ð¸Ð²Ð°ÐµÑ ÑÐ°Ð¼ CA Ð¸ ÑÐ¸Ð¿Ð° Ð¿Ð¾ÑÑÐ¸ ÑÐ»ÑÑÐ°Ð¹Ð½Ð¾, Ð¸Ð·-Ð·Ð° Ð¿ÑÐ¾ÑÑÑÑÐµÐ³Ð¾
ÑÐµÑÑÐ¸ÑÐ¸ÐºÐ°ÑÐ°. ÐÐ¾ ÐºÐ¾Ð½ÐµÑÐ½ÑÐ¹ Ð¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°ÑÐµÐ»Ñ Ð½Ðµ Ð¿ÑÐµÐ´Ð¿Ð¾Ð»Ð°Ð³Ð°ÐµÑÑÑ ÑÑÐ¾ Ð´Ð¾Ð»Ð¶ÐµÐ½
Ð»Ð°Ð·Ð°ÑÑ Ð² CT Ð¶ÑÑÐ½Ð°Ð» Ð´Ð»Ñ Ð¿ÑÐ¾Ð²ÐµÑÐ¾Ðº. Ð­ÐºÐ¾ÑÐ¸ÑÑÐµÐ¼Ð° CT Ð½Ðµ Ð´ÑÑÐ¶ÐµÐ»ÑÐ±Ð½Ð° Ðº ÑÐ¾Ð¼Ñ
ÑÑÐ¾Ð±Ñ Ñ ÑÐµÐ±Ñ ÑÐ´ÐµÐ»Ð°ÑÑ Ð¿Ð¾Ð»Ð½ÑÑ ÑÐ¸Ð½ÑÑÐ¾Ð½Ð¸Ð·Ð°ÑÐ¸Ñ Ð»Ð¾ÐºÐ°Ð»ÑÐ½Ð¾ -- Ñ Ð¿ÑÐ¾Ð±Ð¾Ð²Ð°Ð», Ð¾Ð½Ð¸
Ð¾ÑÐ¸ÑÐ¸Ð°Ð»ÑÐ½Ð¾ Ð½Ðµ ÑÐ¾Ð²ÐµÑÑÑÑ ÑÑÐ¾. Ð Ð»Ð°Ð·Ð°ÑÑ Ð² CT ÐºÐ°Ð¶Ð´ÑÐ¹ ÑÐ°Ð· -- Ð·Ð½Ð°ÑÐ¸Ñ ÑÐ»Ð¸Ð²Ð°ÑÑ
Ð´Ð°Ð½Ð½ÑÐµ Ð¾ ÑÐ¾Ð¼, ÐºÑÐ´Ð° ÑÑ ÑÐ¾Ð´Ð¸ÑÑ Ð¸ ÑÑÐ¾ Ð¿Ð¾ÑÐµÑÐ°ÐµÑÑ. Ð Ð¸ÑÐ¾Ð³Ðµ Ð¾Ñ Ð½Ð°Ð»Ð¸ÑÐ¸Ñ CT
ÐºÐ¾Ð½ÐµÑÐ½Ð¾Ð¼Ñ Ð¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°ÑÐµÐ»Ñ Ð½Ð¸ ÑÐ¾Ð»Ð¾Ð´Ð½Ð¾, Ð½Ð¸ Ð³Ð¾ÑÑÑÐ¾, Ð° Ð²Ð»Ð°Ð´ÐµÐ»ÑÑÑ Ð´Ð¾Ð¼ÐµÐ½Ð°
Ð¿ÑÐµÐ´Ð»Ð°Ð³Ð°ÑÑ Ð¿Ð¾ÑÑÐ¾ÑÐ½Ð½Ð¾ ÑÐ»ÐµÐ´Ð¸ÑÑ Ð·Ð° Ð¶ÑÑÐ½Ð°Ð»Ð°Ð¼Ð¸ CT? Ð¡Ð»ÐµÐ´Ð¸ÑÑ Ð·Ð° ÐºÐ¾ÑÑÑÐ»ÑÐ¼
Ð°Ð¿ÑÐ¸Ð¾ÑÐ¸ ÑÑÐµÑÐ±Ð½Ð¾Ð¹ Ð·Ð°Ð´ÑÐ¼ÐºÐ¸?

ÐÐ´Ðµ-ÑÐ¾ Ð¿Ð¾Ð¼Ð¾Ð³Ð»Ð° Ð±Ñ DNSSEC-Ð¿Ð¾Ð´Ð¿Ð¸ÑÐ°Ð½Ð½Ð°Ñ CAA-Ð·Ð°Ð¿Ð¸ÑÑ Ð² CA, Ð³Ð¾Ð²Ð¾ÑÑÑ. Ð¢Ð¾ ÐµÑÑÑ
Ð·Ð°Ð²Ð¸ÑÐµÑÑ Ð¾Ñ ÐµÑÑ Ð¾Ð´Ð½Ð¾Ð¹ Ð²Ð¾Ð¾Ð±ÑÐµ ÑÐµÐ½ÑÑÐ°Ð»Ð¸Ð·Ð¾Ð²Ð°Ð½Ð½Ð¾Ð¹ PKI ÑÐ¸ÑÑÐµÐ¼Ñ, ÑÑÐ¾Ð±Ñ ÑÐ¾ÑÑ
ÐºÐ°Ðº-ÑÐ¾ ÑÐ´ÐµÐ»Ð°ÑÑ Ð¿Ð¾Ð»ÑÑÑÐµ? Ð¢Ð¾Ð³Ð´Ð° Ð¿Ð¾ÑÐµÐ¼Ñ Ð±Ñ ÑÑÐ°Ð·Ñ Ð² Ð½ÐµÐ¹ Ð¸ Ð½Ðµ ÑÑÐ°Ð½Ð¸ÑÑ
Ð°ÑÑÐµÐ½ÑÐ¸ÑÐ¸ÑÐ¸ÑÑÑÑÑÑ DV Ð¸Ð½ÑÐ¾ÑÐ¼Ð°ÑÐ¸Ñ Ð² Ð²Ð¸Ð´Ðµ DANE Ð·Ð°Ð¿Ð¸ÑÐµÐ¹? ÐÐ¾ Ð½ÐµÑ, ÑÐ¾ÑÑÐ¼
Ð±ÑÐ¾ÑÐ·ÐµÑÐ¾Ð² Ð½Ðµ Ð¿ÑÐ¸Ð½Ð¸Ð¼Ð°ÐµÑ ÑÑÐ¾ ÑÐµÑÐµÐ½Ð¸Ðµ. ÐÐ° Ð¸ Ð½ÐµÐ²Ð¾Ð·Ð¼Ð¾Ð¶Ð½Ð¾ ÑÑÐµÐ±Ð¾Ð²Ð°ÑÑ DNSSEC
Ð½Ð°Ð»Ð¸ÑÐ¸Ñ, Ð¸Ð±Ð¾, Ð½Ð°ÑÐºÐ¾Ð»ÑÐºÐ¾ Ð¿Ð¾Ð¼Ð½Ñ, Ð´Ð°Ð¶Ðµ Ð½Ðµ Ð²ÑÐµ ÐºÐ¾ÑÐ½ÐµÐ²ÑÐµ Ð·Ð¾Ð½Ñ ÐµÐ³Ð¾ Ð²Ð¾Ð¾Ð±ÑÐµ
Ð½Ð°ÑÐ°Ð»Ð¸ Ð¸ÑÐ¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°ÑÑ, Ð½Ðµ Ð³Ð¾Ð²Ð¾ÑÑ Ð¿ÑÐ¾ ÐºÑÐ°Ð¹Ð½Ðµ Ð¼Ð°Ð»Ð¾Ðµ ÐºÐ¾Ð»Ð¸ÑÐµÑÑÐ²Ð¾ Ð²Ð¾Ð¾Ð±ÑÐµ
Ð¿Ð¾Ð´Ð¿Ð¸ÑÐ°Ð½Ð½ÑÑ Ð·Ð¾Ð½. ÐÑ Ð¸ Ñ Ð¼Ð¾Ð»ÑÑ Ð¿ÑÐ¾ ÑÐ¾, ÑÑÐ¾ ÑÑÑ Ð²Ð¾Ð¾Ð±ÑÐµ ÐµÐ´Ð¸Ð½ÑÑÐ²ÐµÐ½Ð½ÑÐ¹ ÑÐºÐ¾ÑÑ
Ð´Ð¾Ð²ÐµÑÐ¸Ñ (Ð¿Ð¾Ð»Ð½Ð¾ÑÑÑÑ ÑÐ¿ÑÐ°Ð²Ð»ÑÐµÐ¼ÑÐ¹ ÐÐÐ¢Ð).

ÐÐ¾Ð¾Ð±ÑÐµ-ÑÐ¾ Ð¸Ð·Ð½Ð°ÑÐ°Ð»ÑÐ½Ð¾ PKI Ð·Ð°Ð´ÑÐ¼ÑÐ²Ð°Ð»ÑÑ ÐºÐ°Ðº Ð½ÐµÑÑÐ¾, ÐºÑÐ´Ð° Ð¿ÑÐ¸ÑÐ¾Ð´ÑÑ Ñ ÐºÐ¸Ð¿Ð¾Ð¹
Ð´Ð¾ÐºÑÐ¼ÐµÐ½ÑÐ¾Ð², Ð¸Ð½ÑÐ¾ÑÐ¼Ð°ÑÐ¸Ñ Ð¸Ð· ÐºÐ¾ÑÐ¾ÑÑÑ Ð¿ÑÐ¾Ð¿Ð¸ÑÑÐ²Ð°ÐµÑÑÑ Ð² ÑÐµÑÑÐ¸ÑÐ¸ÐºÐ°ÑÐµ. Ð
Ð¡ÑÐ¾Ð»ÑÑÐ¾Ð² Ð² ÑÐ²Ð¾ÐµÐ¹ Ð·Ð°Ð¼ÐµÑÐºÐµ Ð²ÐµÑÐ½Ð¾ Ð³Ð¾Ð²Ð¾ÑÐ¸Ñ, ÑÑÐ¾ ÑÑÐ¾ Ð¾Ð·Ð½Ð°ÑÐ°ÐµÑ ÑÑÐ¾ Ð½Ð°Ð¼ Ð±Ñ
Ð¿ÑÐ¸ÑÐ¾Ð´Ð¸Ð»Ð¾ÑÑ ÐµÐ·Ð´Ð¸ÑÑ, Ð³ÑÑÐ±Ð¾ Ð³Ð¾Ð²Ð¾ÑÑ, Ð² Ð¡Ð¨Ð, ÑÑÐ¾Ð±Ñ Ð¿Ð¾Ð»ÑÑÐ°ÑÑ EV-grade
ÑÐµÑÑÐ¸ÑÐ¸ÐºÐ°ÑÑ. Ð§ÐµÐ³Ð¾, Ð¾ÑÐµÐ²Ð¸Ð´Ð½Ð¾, Ð½Ð¸ÐºÑÐ¾ (Ð½Ñ ÐºÑÐ¾Ð¼Ðµ Ð±Ð°Ð½ÐºÐ¾Ð² ÑÐ°Ð¼ Ð¸ Ð¿Ð¾Ð´Ð¾Ð±Ð½ÑÑ
ÑÐµÑÑÑÐ·Ð½ÑÑ Ð¾ÑÐ³Ð°Ð½Ð¸Ð·Ð°ÑÐ¸Ð¹) Ð´ÐµÐ»Ð°ÑÑ Ð½Ðµ Ð±ÑÐ´ÐµÑ. ÐÐ¾ÑÑÐ¾Ð¼Ñ Ð±ÑÐ´ÑÑ Ð¾ÑÑÐ°Ð²Ð°ÑÑÑÑ
DV-grade ÑÐµÑÑÐ¸ÑÐ¸ÐºÐ°ÑÑ. ÐÐ¾ÑÑÐ¾Ð¼Ñ MitM Ð¿ÑÐµÐºÑÐ°ÑÐ½Ð¾ Ð´Ð°Ð¶Ðµ Ð½Ð° ÑÑÐ¾Ð²Ð½Ðµ ÑÐ¾ÑÑÐµÑÐ°
Ð±ÑÐ´ÐµÑ Ð²Ð¾Ð·Ð¼Ð¾Ð¶ÐµÐ½. ÐÐ¾ÑÑÐ¾Ð¼Ñ Ð½Ð° ÐºÐ¾Ð¹ ÑÑÑÑ Ð²ÑÐµ ÑÑÐ¸ ÑÐ²Ð¸ÑÑÐ¾Ð¿Ð»ÑÑÐºÐ¸ Ñ Let's Encrypt
Ð¸ Ð¿ÑÐ¾ÑÐ¸Ð¼Ð¸ DV-grade CA? ÐÑ Ð´Ð°, ÑÑÐ¾Ð±Ñ Ð½Ðµ Ð½Ð°Ð¶Ð¸Ð¼Ð°ÑÑ Ð»Ð¸ÑÐ½Ð¸Ð¹ ÑÐ°Ð· Ð½Ð° ÐºÐ½Ð¾Ð¿Ð¾ÑÐºÑ
"Ð²ÑÑ ÑÐ°Ð²Ð½Ð¾ Ð´Ð¾Ð²ÐµÑÐ¸ÑÑ Ð´Ð°Ð½Ð½Ð¾Ð¼Ñ ÑÐµÑÑÐ¸ÑÐ¸ÐºÐ°ÑÑ". ÐÐ¾ ÑÐ¾Ð»ÑÐºÐ¾ Ð½Ðµ Ð½Ð°Ð´Ð¾ Ð·Ð°Ð»Ð¸Ð²Ð°ÑÑ Ð¸
Ð±ÑÐ¾ÑÐ°ÑÑÑÑ ÑÐ»Ð¾Ð²Ð°Ð¼Ð¸ Ð¿ÑÐ¾ Ð±ÐµÐ·Ð¾Ð¿Ð°ÑÐ½Ð¾ÑÑÑ.
-- 
2.50.0