👩🏼‍🤝‍👩🏻 👨🏾‍🏭 🎵 AS3 पर सॉकेट कनेक्शन के लिए TLS / SSL प्रोटोकॉल सपोर्ट 🥐 😳 🕺

हम एक निरंतर सॉकेट कनेक्शन के साथ एक क्लाइंट-सर्वर एप्लिकेशन के लिए एक फ्लैश क्लाइंट विकसित कर रहे हैं, और यह हमारे लिए महत्वपूर्ण है कि हम खुद को वायरिंग ट्रैफिक से बचाएं। ऐसा करने का एक तरीका एसएसएल / टीएलएस एन्क्रिप्शन है। फ्लैश में, ऐसा करने के दो तरीके हैं: as3crypto लाइब्रेरी से देशी SecureSocket या TLSSocket का उपयोग करें। नीचे हम पेशेवरों और विपक्ष, प्रदर्शन, और उन समस्याओं पर भी चर्चा करेंगे जो हमने दोनों विकल्पों को लागू करते समय सामना की थी।

तुलना चार्ट

एसएसएल / टीएलएस सॉकेट पर एक ऐड-ऑन है जो सुनने और दो कार्यों को करने से रोकता है - प्रतिभागियों (सर्वर और क्लाइंट) का प्रमाणीकरण और ट्रैफ़िक एन्क्रिप्शन। सॉकेट की मुख्य कार्यक्षमता स्पष्टता के लिए एक तालिका के रूप में प्रस्तुत की गई है:

SecureSocket और TLSSocket, "+" की तुलना - कोई समस्या नहीं मिली, "-" - समर्थित नहीं है या काम नहीं कर रहा है, "," - काम कर रहा है लेकिन त्रुटियों के साथ या सभी मामलों के लिए काम नहीं कर रहा है, "?" - पिछली त्रुटियों के कारण सत्यापित नहीं किए जा सके? , "-?" - यह कहा गया है कि यह काम करता है, लेकिन इसकी पुष्टि नहीं की जा सकती है

वस्तुओं पर विवरण

SecureSocket

फ्लैश प्लेयर का न्यूनतम संस्करण

सिक्योरकेट को फ्लैश प्लेयर 11 वें संस्करण और उच्चतर की आवश्यकता होती है, जो केवल 75% उपयोगकर्ताओं में स्थापित है, अर्थात। शेष 25% के लिए, आपको वैसे भी TLSSocket का उपयोग करना होगा।

प्रमाण पत्र के साथ काम करें

सिक्योर सॉकेट को सिस्टम में एकीकृत किया गया है, जो इसे सिस्टम सर्टिफिकेट स्टोरेज के साथ काम करने की अनुमति देता है और सिस्टम उनकी प्रामाणिकता को सत्यापित करने का साधन है, अर्थात। सर्वर प्रमाणपत्र वास्तव में एक प्रमाणपत्र प्राधिकारी के माध्यम से सत्यापित किया जाएगा, जो TLSSocket कभी नहीं कर सकता है। SecureSocket आपको अपना स्वयं का प्रमाण पत्र जोड़ने की अनुमति देता है, जिसे विश्वसनीय माना जाएगा, लेकिन फिर भी इसे अन्य त्रुटियों (समाप्ति तिथि, प्रमाण पत्र और सर्वर नाम में सामान्य नाम बेमेल) के लिए जांचें और अगर कुछ गलत होता है, तो यह कनेक्शन काट देगा, इसलिए पुराने परीक्षण प्रमाण पत्र (मुझे लगता है) लगभग हर डेवलपर के पास एक होगा) सबसे अधिक संभावना है कि काम नहीं करेगा।

एसएसएल

एसएसएल 3.0 (इसके बाद एसएसएल हमेशा एसएसएल 3.0 का मतलब है) को मजबूर एसएसएल मोड में अपने सर्वर पर परीक्षण किया गया था। क्लाइंट ने सभी प्रमाणपत्रों पर एक गैर-मान्यता प्राप्त प्रमाणपत्र सत्यापन स्थिति (serverCertificateStatus = अमान्य) के साथ कनेक्शन को बंद कर दिया, जो हमने आधिकारिक तौर पर हस्ताक्षरित एक सहित कोशिश की थी। मैं ध्यान देता हूं कि सॉकेट सफलतापूर्वक सार्वजनिक सर्वर (google.com, yandex.ru) के 443 वें पोर्ट में प्रवेश करता है, लेकिन टीएलएस प्रोटोकॉल का सबसे अधिक संभावना है, वहां चयन किया जाता है, और सिक्योरकेट केवल दो टीएलएस या एसएसएल प्रोटोकॉल में से एक का उपयोग करने के लिए मजबूर नहीं करता है , क्योंकि यह नहीं करता है ब्राउज़र में TLS / SSL सेटिंग्स पर ध्यान देना जो swf चलाता है। मैं यह कहने का नाटक नहीं कर सकता कि सिद्धांत में एसएसएल 3.0 काम नहीं करता है, फिर भी आधिकारिक दस्तावेज में इसका समर्थन बताया गया है, लेकिन हम इसे काम करने में असमर्थ थे।

टीएलएस

टीएलएस ने तुरंत और दोनों प्रमाणपत्रों पर अर्जित किया। एक काम कर रहे सॉकेट के साथ, हम एक असुरक्षित प्रोटोकॉल की तुलना में ऑपरेशन की गति का मूल्यांकन करने में सक्षम थे, यहां हम बहुत निराश थे, उस पर और अधिक।

TLSSocket

प्रमाण पत्र के साथ काम करें

प्रमाणपत्र के साथ काम करने में TLSSocket की कई कमजोरियाँ हैं:

कुछ प्रकार के प्रमाणपत्रों को पार्स करते समय विभिन्न बिना कटे हुए कीड़े होते हैं। प्रमाणन प्राधिकरण के प्रमाणपत्र को पार्स नहीं किया गया था और अंक 26 में प्रस्तावित पैच ने मदद नहीं की
आप अपना स्वयं का प्रमाण पत्र नहीं जोड़ सकते हैं, जिसे स्वचालित रूप से विश्वसनीय माना जाएगा। पिछले पैराग्राफ के साथ जोड़ा, हम मूल रूप से सर्वर प्रमाणपत्र को सत्यापित करने की क्षमता खो देते हैं। आपको स्वयं कार्यक्षमता को जोड़ना होगा (नीचे एक कार्यान्वयन उदाहरण), या एक सुरक्षा छेद को छोड़कर TrustAllCertports मोड में काम करें।
क्लाइंट सिस्टम पर स्थापित प्रमाणपत्रों के साथ काम करने का कोई तरीका नहीं है। TLSConfig :: localKeyStore संपत्ति की उपस्थिति से देखते हुए , विचार था, लेकिन, जाहिर है, ऐसी सूची पर विचार करने के लिए AS3 की अक्षमता ने कार्यान्वयन को धीमा कर दिया।

हालांकि, एक सकारात्मक बिंदु है, पुस्तकालय अमान्य प्रमाण पत्र के साथ भी काम करने के लिए कई झंडे प्रदान करता है (प्रमाण पत्र में सर्वर नाम का बेमेल और स्व-हस्ताक्षरित प्रमाण पत्र) कोड का खुलापन अपूर्ण कार्यक्षमता को जोड़ने की अनुमति देता है (उदाहरण के लिए, प्रमाण पत्र की समाप्ति की अनदेखी या अपने स्वयं के प्रमाण पत्र के अलावा)

अपने स्वयं के विश्वसनीय प्रमाण पत्र जोड़ने के लिए पैच

एक छोटा पैच जो DER प्रारूप में विश्वसनीय के रूप में बाहरी प्रमाणपत्र के लिए समर्थन जोड़ता है। कार्यान्वयन के लिए, हम केवल पूरे प्रमाण पत्र के एमडी 5 हैश लेते हैं और इसकी तुलना सर्वर से क्या करते हैं, अगर यह मेल खाता है, तो प्रमाण पत्र पर भरोसा किया जाता है।

वर्ग में com.hurlant.crypto.tls.TLSConfig अपने प्रमाणपत्रों को जोड़ने और सत्यापित करने के तरीके जोड़ें

/** * Add own your own trusted certificate * @param cert A ByteArray object containing a DER-encoded X.509 digital certificate. */ public function addTrustedCertificate(cert:ByteArray):void { var md5:String = Hex.fromArray(new MD5().hash(cert)); trustedCertificates[md5] = true; } /** * Check whether the certificate is marked as trusted * @param cert X509Certificate object to check */ public function isTrustedCertificate(cert:X509Certificate):Boolean { var md5:String = cert.md5; return trustedCertificates[md5]; }

वर्ग com.hurlant.crypto.cert.X509Certificate में md5 हैश और _bytes संपत्ति (DER एन्कोडिंग में प्रमाण पत्र) पर एक गेट्टर जोड़ें।

  private function load():void { ... } else if (p is ByteArray) { b = p; } _bytes = b; ... } private var _bytes:ByteArray; private var _md5:String; /** * get md5 hash for certificate */ public function get md5():String { if(_md5) { return _md5; } if (_bytes) { _md5 = Hex.fromArray(new MD5().hash(_bytes)); } else { throw new Error("get md5: Invalid x509 Certificate parameter"); } return _md5; }

in com .hurlant.crypto.tls.TLSEngine, सर्टिफिकेट के प्रॉक्सी सत्यापन को लोड सर्टिफिकेट विधि लाइन 810 में जोड़ें:
```
  ... } else if (_config.isTrustedCertificate(firstCert)) { certTrusted = true; } else if(_config.trustSelfSignedCertificates ) { // Self-signed certs certTrusted = firstCert.isSelfSigned(new Date); }else { ... 
```

उपयोग का उदाहरण:

 package { import com.hurlant.crypto.tls.TLSConfig; import com.hurlant.crypto.tls.TLSEngine; import com.hurlant.crypto.tls.TLSSecurityParameters; import com.hurlant.crypto.tls.TLSSocket; import com.hurlant.util.der.PEM; import flash.display.Sprite; import flash.events.Event; import flash.events.IOErrorEvent; import flash.events.SecurityErrorEvent; import flash.utils.ByteArray; public class addcerttest extends Sprite { [Embed(source="cert.pem", mimeType="application/octet-stream")] private static const cert_pem:Class; public function addcerttest() { var cert_pem_bytes:ByteArray = new cert_pem(); var cert_der:ByteArray = PEM.readCertIntoArray(cert_pem_bytes.readUTFBytes(cert_pem_bytes.bytesAvailable)); var config:TLSConfig = new TLSConfig(TLSEngine.CLIENT, null, null, null, null, null, TLSSecurityParameters.PROTOCOL_VERSION); config.addTrustedCertificate(cert_der); var socket:TLSSocket = new TLSSocket(null, 0, config); socket.addEventListener(Event.CONNECT, log); socket.addEventListener(Event.CLOSE, log); socket.addEventListener(IOErrorEvent.IO_ERROR, log); socket.addEventListener(SecurityErrorEvent.SECURITY_ERROR, log); socket.connect("my.app.server", 443); } private function log(event:Event):void { trace(event.type); } } }

एसएसएल / टीएलएस

TLSSocket पर , ट्रैफ़िक एन्क्रिप्शन दोनों प्रोटोकॉल में काम करता था, लेकिन ग्राहक के कई मिनटों के बाद पैकेट में एन्क्रिप्शन एन्क्रिप्शन एसएसएल में टूट जाता है। सबसे अधिक संभावना है कि यह पुस्तकालय में किसी प्रकार के कीड़े के कारण टूट जाता है, उन्होंने खोज नहीं की, क्योंकि टीएलएस समस्याओं के बिना काम करता है।
As3crypto में आम तौर पर बग की एक बड़ी सूची होती है और समस्या इस तथ्य से बढ़ जाती है कि डेवलपर्स ने लाइब्रेरी को अपडेट करना बंद कर दिया।

उत्पादकता

SecureSocket

सिक्योरकेट के साथ एक नई समस्या उत्पन्न हुई - समय-समय पर (प्रत्येक 5-10 अनुरोध), सॉकेट "स्वयं में चला जाता है" बिना किसी स्पष्ट कारण के 2-8 सेकंड के लिए। मैं यह कहने के लिए नहीं कहता हूं कि सभी के पास इस तरह के अंतराल होंगे, लेकिन हमारे पास उन्हें, एक ही सर्वर पर, था। जिस पर टीएलएसएसकेट ने तेजी से काम किया, अर्थात्। ग्राहक पक्ष पर व्यापार। एक आवेदन के रूप में बाध्यकारी बिना एक "साफ" डेमो में परीक्षण किया गया। पैकेट के आकार पर पार्सिंग समय की निर्भरता स्थापित करना संभव नहीं था, हमने 30 बाइट से 5 केबी तक पैकेट की कोशिश की, रैंडम पैकेट पर फ्रीज अलग-अलग समय पर दिखाई दिए, प्रोसेसर ने फ्रीज के दौरान लोड नहीं किया, एफपीएस ड्रॉप नहीं हुआ। पैकेट पार्सिंग अपने आप में तेज़ है, यदि आप केवल पैकेट बिना किसी लटके ले लेते हैं, तो सॉकेट और सिक्योर सॉकेट के बीच अंतर असंगत है , जबकि TLSSocket अभी भी सॉकेट की तुलना में धीमा है। मैं बाद में इससे निपटने की कोशिश करूंगा, क्योंकि मैं अब भी एक तेजी से काम करने वाला देशी विकल्प लेना चाहूंगा।

TLSSocket

चूंकि पूरे कार्यान्वयन यहाँ as3 पर पार्सिंग पैकेट का समय आकार के लिए रैखिक रूप से आनुपातिक है और कोर i7 पर 2-7 केबी पैकेट (हमारी परियोजना में अधिकतम) के लिए क्रमशः 40-120 एमएस था, रनटाइम नोटिफिकेशन के साथ छोटे पैकेट पैकेट के लिए पार्स किए गए (5-20 एमएस)। 100-500 बाइट्स में) और किसी भी लैग का कारण न बनें। उपयोगकर्ता के लिए, एसएसएल / टीएलएस का जोड़ केवल बड़े पैकेट पर ध्यान देने योग्य होगा।

Swf लेआउट

सभी चेक किए गए और डीबग किए गए, अब, हम असेंबली को http सर्वर पर पोस्ट करते हैं, सॉकेट पॉलिसी सर्वर को कॉन्फ़िगर करना नहीं भूलते हैं। हम आवेदन शुरू करते हैं, हम देखते हैं कि दोनों सॉकेट काम नहीं करते हैं। प्रत्येक के अपने कारण हैं: टीएलएसएसकेट समस्या 4 के कारण काम नहीं करता है - क्लाइंट कनेक्शन स्थापित होने से पहले "हैंडशेक" के लिए अनुरोध भेजता है। SecureSocket के साथ , फ़्लैश प्लेयर के लिए आपको TLS / SSL कनेक्शन खोलने की अनुमति देना थोड़ा कठिन है, आपको सर्वर से TLS / SSL प्रोटोकॉल के माध्यम से नीति फ़ाइल भेजनी होगी, अर्थात इस फ़ाइल के वितरक को अंतिम रूप देने की आवश्यकता होगी।

निष्कर्ष

सिक्योरकेट को सिस्टम में एकीकृत किया गया है, जो इसे सिस्टम सर्टिफिकेट स्टोरेज के साथ काम करने की अनुमति देता है और सिस्टम अपनी प्रामाणिकता को सत्यापित करने का साधन बनाता है , जिसे टीएलएसएसकेट नहीं कर सकता। हालाँकि, SecureSocket के लाभ वहाँ समाप्त होते हैं। स्पष्ट कमियों में से, मैं आने वाले डेटा को पार्स करते समय दूसरी लैग्स को नोट करता हूं, टूटा हुआ एसएसएल 3.0 और आम तौर पर डिबगिंग साइलेंस अगर कुछ काम नहीं करता है, जो कि कई देशी as3 समाधानों की विशेषता है। टीएलएसएसकेट को इसकी तेज गति और कार्य में त्रुटियों को ठीक करने (या कम से कम कारण का पता लगाने) की क्षमता से पहचाना जाता है, इसका स्रोत प्रदान करता है।

धन्यवाद, जो अंत तक पढ़ते हैं, मुझे आशा है कि सामग्री उपयोगी होगी और कोई समय बचाएगा। टाइपो और त्रुटियां व्यक्तिगत रूप से भेजें। टिप्पणियों में चर्चा करने के लिए अशुद्धि और परिवर्धन खुशी होगी।
GitHub से लिंक as3crypto_patch लेख में उल्लिखित पैच और बाहरी विश्वसनीय प्रमाणपत्र जोड़ने के लिए कार्यक्षमता के साथ।

AS3 पर सॉकेट कनेक्शन के लिए TLS / SSL प्रोटोकॉल सपोर्ट

तुलना चार्ट

वस्तुओं पर विवरण

SecureSocket

फ्लैश प्लेयर का न्यूनतम संस्करण

प्रमाण पत्र के साथ काम करें

एसएसएल

टीएलएस

TLSSocket

प्रमाण पत्र के साथ काम करें

एसएसएल / टीएलएस

उत्पादकता

SecureSocket

TLSSocket

Swf लेआउट

निष्कर्ष

More articles: