dxdt.ru: занимательный интернет-журнал

В Центре Сертификации (ЦС) ТЦИ планируется запуск API для внешней автоматизации (для организаций). Сейчас можно присоединиться к тестированию API:

ТЦИ разработал партнерское API для организаций, желающих осуществлять выпуск TLS- и S/MIME-сертификатов для веб-ресурсов и почтовых приложений.

Удобно, что можно поделиться ссылкой на заметку из 2008 года (почти 15 лет назад), про дирижабли:

То есть, дирижабль с автоматическим управлением, начинённый разведывательным (наблюдательным) оборудованием, может непрерывно патрулировать границу или какую-то территорию сутками и месяцами.

Про измерения и DNS в Интернете: В 2020 году в журнале “Интернет Изнутри” вышла моя статья “DNS как источник глобальной информации о Сети“, где, в частности, описывается практический способ, позволяющий измерить характеристики DNS-резолверов, обслуживающих конечных пользователей веба.

Публикации за семь лет сейчас доступны на отдельном сайте журнала, почитайте.

На тестовом сервере TLS 1.3, который я реализовал и некоторое время поддерживаю по адресу tls13.1d.pw, пришлось тоже перейти на TLS-сертификаты Let’s Encrypt. А это привело к замене цепочки с ECDSA на цепочку с RSA, что, конечно, не очень хорошо. Вообще, так как сервер экспериментальный и полностью самописный, замена сертификатов требует ручного вмешательства, поэтому “долгие” сертификаты удобнее, чем трёхмесячные. Но, в принципе, можно процесс автоматизировать.

Я как-то перестал описывать изменения тестового сервера на dxdt.ru: прошлая записка на эту тему датирована январём 2020 года. При этом сервер продолжают использовать, он даже помогает находить ошибки и неточности в реализациях TLS стороны клиента. Конечно, ошибки обнаруживаются и в самом сервере – их я стараюсь исправлять.

Выпустил ежегодное обновление технического описания протокола TLS. Каких-то больших дополнений в этом году не вышло, но актуализировал весь текст. (Есть, впрочем, очень краткое новое приложение (В), посвящённое ГОСТ-TLS.)

Десять лет назад на dxdt.ru появлялась, например, заметка про спуфинг сигналов спутниковых навигационных систем:

Теперь предположим, что навигационная система использует несколько “внешних” источников навигационной информации. Например, GPS + ГЛОНАСС. С одной стороны, такая система может обнаружить расхождение между показаниями, если GPS “подспуфили”. Но не ясно, что в таком случае этой системе делать? Она не может определить, происходит ли спуфинг GPS или, наоборот, ГЛОНАСС. И почему, кстати, GPS заслуживает меньшего доверия, чем ГЛОНАСС?

Вообще, про спуфинг GNSS я раньше писал нередко, в том числе, на страницах dxdt.ru – вот, например, весьма подробная записка по теме: “Подделка сигнала GPS (GPS-спуфинг)“.

Продолжаем рассматривать старые заметки dxdt.ru. В марте 2012 года (десять лет назад), например, опубликована пара заметок про древние оптические телеграфы и их возможную защиту от прослушивания и подмены сообщений: “Как древние греки с факелами и оптическим телеграфом могут обезопасить себя от подобной техники “прослушивания” канала связи? Есть простой способ: греки должны использовать разные шкалы сообщений, синхронно заменяя их на постах связи по расписанию, после передачи каждого сообщения. Шкалы отличаются интервалами времени, обозначающими каждое сообщение, и расположением сообщений”.

Другая заметка озаглавлена “Закрытый Интернет будущего” (в 2012 году такой заголовок всё ещё идёт на правах “технократического юмора”): “[…] известно, что сделать такой “закрытый” Интернет можно. Но нужно не только ограничить сервера по белому списку и фильтровать протоколы, а, прежде всего, строго контролировать программное обеспечение, доступное пользователям. Если вы разрешаете работать с Интернетом только “правильным” программам, в которых нет функции “сделать стеганографическую вставку в эту фотографию, которую я только что снял на мобильный телефон”, то проблема решается сама собой”. Современная тенденция немного иная: наметилось активное движение в сторону расщепления глобальной Сети на некие слои, соответствующие тем или иным приложениям – фольклорным воплощением этого движения является, например, общепринятый сейчас массовый бег из, условных, фейсбуков, в “мессенджеры типа Telegram”, опять же, условные.

Третья заметка из 2012 года о конспирологических “техноартефактах”, оказавшиеся реальностью: “Например, хорошо отработанная со всех сторон идея о “зомбоизлучателе”, который наводит голоса в голове. На поверку оказывается, что технология такая есть, да и не одна”. Что касается голосов, то, конечно, речь идёт об ультразвуковых источниках и о (теоретической) микроволновой схеме. Обязательно прочитайте комментарий к той заметке – там про системы тотальной слежки.

Традиционная записка к Новому году.

В 2021 году заметки на dxdt.ru продолжали выходить. Кроме того, я выпустил небольшое (но зато ежегодное) обновление технического описания TLS и написал несколько статей про важные интернет-технологии. Вообще, публикации именно на dxdt.ru за несколько лет сдвинулись в сторону математики и методов защиты информации, а из других привычных для этого блога направлений, периодически получающих одну или две новых заметки, остаются только радиолокация, системы связи и технологии передачи информации (см. ссылки ниже). Посмотрим, как будет дальше. Пока что я предполагаю, что станет больше математических заметок, но это всего лишь попытка угадать направление. Сайт dxdt.ru регулярно публикует заметки с 2005 года (архив сейчас доступен с 2006, но проект старше). Не сказать, что вот прямо очень долго, но, с другой стороны – всё же 16 лет. Статистика WordPress показывает, что на сайте сейчас 2608 заметок.

С наступающим Новым годом! Спасибо, что читаете.

Небольшая подборка публикаций dxdt.ru за 2021 год:

• TLS для DevOps;
• Доверенные программы для обмена сообщениями;
• Хитрости записи корней уравнений;
• Из практики: домашняя 3D-печать;
• Наземные терминалы Starlink как элементы радара.

На сайте ТЦИ опубликована моя статья, рассказывающая о технологии ECH (Encrypted Client Hello) и её, возможном, месте в современном наборе защищённых транспортов данных глобальной Сети. ECH – это развитие технологии ESNI, однако от ESNI всё ушло уже достаточно далеко.

На сайте ТЦИ опубликована очередная моя статья. На этот раз о том, как DNS может использоваться для размещения информации, необходимой для работы других протоколов. Например, в DNS могут размещаться криптографические ключи, нужные для установления соединения со скрытым сервисом. Конечно, имя, выбранное для размещения ключей, вовсе не обязательно должно совпадать с именем скрытого сервиса: извлечённые из DNS ключи позволят и расшифровать настоящее имя или адрес “точки входа”, и защитить трафик ещё до установления соединения. Почитайте:

Весьма вероятно, что в ближайшие несколько лет DNS сильно укрепит свою роль в работе Интернета, став источником информации, необходимой для гибкой, адаптирующейся под изменения сетевого транспорта, настройки протоколов на стороне клиента.

https://tcinet.ru/press-centre/articles/7511/

Цитата из моей статьи, опубликованной в “Открытых системах” в 2019 году, про развитие методов контроля над интернет-трафиком:

Среди перспектив развития систем контроля трафика (именно контроля) можно отметить пропуск только авторизованного трафика. Конечно, такой вариант пока кажется фантастикой. Авторизация трафика — это развитие схемы с белыми списками. В этом случае доступ по спискам IP-адресов и имен не ограничивается, но промежуточные узлы пропускают только трафик, который содержит специальные криптографические маркеры, подтверждающие его легитимность. Коммуникация остается двусторонней, поэтому маркеры выставляются источником и получателем — приложениями, работающими на оконечных узлах, а также всеми промежуточными узлами. Для генерации валидных маркеров требуется секретный ключ, который находится внутри приложения, а для получения ключа приложение должно пройти сертификацию.

https://www.osp.ru/os/2019/01/13054741