एसएसएल प्रमाणपत्रों के साथ बादल, जिम्मेदारी और अप्रत्याशित परिस्थितियां

क्लाउड प्लेटफ़ॉर्म पर चर्चा करते समय, स्वाभाविक रूप से प्लेटफ़ॉर्म की विश्वसनीयता और प्रदाता की समस्याओं के बारे में सवाल उठता है। इसी समय, उपयोगकर्ता की अपेक्षाएं उच्चतम हैं - सब कुछ पूरी तरह से 25 घंटे एक दिन, सप्ताह में 9 दिन और वर्ष के सभी दिनों में काम करना चाहिए। वास्तविक दुनिया में, सभी प्रकार की समस्याएं उत्पन्न होती हैं - या तो बाहरी बिजली की आपूर्ति को बंद करने के बाद, रिजर्व एक को संक्रमण काम नहीं करता है , तो डीजल ईंधन के साथ टैंक के निचले भाग में कंडेनसेट (पानी) होगा , फिर 29 फरवरी को "एक वर्ष में" इसकी गणना एक वर्ष की वृद्धि से की जाएगी ।

एसएसएल के प्रमाणपत्रों की समस्याओं की सूची में अंतिम स्थान पर कब्जा नहीं है। उदाहरण के लिए, कुछ क्लाउड सेवा का एक प्रमाण पत्र पूरी तरह से अप्रत्याशित रूप से समाप्त हो सकता है।

किसे दोष देना है और क्या करना है?

आपको उदाहरणों के लिए दूर जाने की आवश्यकता नहीं है - यह हर किसी के लिए हो सकता है। फरवरी 2013 के अंत में, Windows Azure Storage सेवा के तीन प्रमाणपत्र एक ही बार में समाप्त हो गए। अराजकता और विनाश की एक श्रृंखला, अंग्रेजी भाषा की साइटों ने इस बारे में बहुत कुछ लिखा। सामान्य तौर पर, प्रमाण पत्र के प्रतिस्थापन की योजना पहले से बनाई गई थी और लगभग पूरी तरह से पूरी हो गई थी। यहाँ यह वर्णन किया गया है कि प्रतिस्थापन को अंत तक क्यों नहीं किया गया और उसी समय किसी ने कुछ भी नहीं देखा जब तक कि यह पहले से ही बहुत देर हो चुकी थी। यह कम से कम महाकाव्य त्रयी के एक परिदृश्य के रूप में पढ़ने के लिए अनुशंसित है और हाथों की वक्रता की त्रिज्या पर टिप्पणी छोड़ने से पहले पढ़ना सुनिश्चित करें।

आइए इस स्थिति पर करीब से नज़र डालें। घंटे X के तुरंत बाद, ये दो पोस्ट दिखाई दिए: एक और दो । उनके पास एक निश्चित स्क्रीनशॉट है जिसमें URL दिखाया गया है जिसके लिए प्रमाणपत्र का इरादा है, और प्रमाणपत्र की वैधता अवधि। कुछ इस तरह (केवल यहाँ एक नया प्रमाणपत्र और एक अन्य कार्यक्रम से स्क्रीनशॉट):



यह स्क्रीनशॉट कहाँ से आया? शायद यह कुछ सुपर प्रोग्राम के एंटरप्राइज संस्करण का स्क्रीनशॉट है, जो केवल 80,500 के स्तर पर शुरू होने वाले प्रशासकों के लिए उपलब्ध है, जिसके पास 100,500 पैसे हैं?

आइए निम्नलिखित प्रयोग करके देखें। नीचे वर्णित है कई (और काफी सही) के लिए तुच्छ प्रतीत होगा, लेकिन यह पता चला है कि बहुत से विशेषज्ञों को सॉफ्टवेयर की ऐसी पारगमन संभावनाओं के बारे में पता भी नहीं था। इसलिए ...

सबसे आम ब्राउज़र ले लो। ओगेलिस 20 उपयुक्त है, केवल नियंत्रण का स्थान ब्राउज़र की पसंद पर निर्भर करेगा। हम एक खाली टैब बनाते हैं और पता बार में हम टाइप करते हैं, उदाहरण के लिए, github.com GitHub मुख्य पृष्ठ खुलने के बाद, पता बार इस तरह दिखता है:



तुम देखो, महल और शिलालेख की एक छवि है "GitHub, Inc. (यूएस) आप इस शिलालेख को माउस से दबा सकते हैं, एक बटन के साथ ऐसा रूप दिखाई देगा।



बटन पर क्लिक करने के बाद, विवरण के साथ एक फॉर्म दिखाई देता है और, अन्य बातों के अलावा, प्रमाणपत्र देखें बटन।



इस बटन पर क्लिक करें ... EXTREMELY UNEXPECTED ...



... बिल्कुल वैसा ही रूप जैसा कि पहले स्क्रीनशॉट में है, एक विशिष्ट प्रमाणपत्र के लिए समायोजित किया गया है।

इसलिए, समय पर पूरी तरह से मनमाने ढंग से, हमें पता चला कि जुलाई 2013 के अंत तक github.com प्रमाणपत्र मान्य है। हमें किसी विशेष विशेषाधिकार या किसी विशेष सॉफ्टवेयर की आवश्यकता नहीं थी। और सबसे महत्वपूर्ण बात, सभी आवश्यक जानकारी लगातार - हर दिन और घड़ी के आसपास - सादे दृष्टि में थी।

अब पाठक पहले ही टिप्पणियों के लिए उत्सुकता से पूछते हैं, "हमें किसी और की सेवा के प्रमाण पत्र की वैधता अवधि की जांच क्यों करनी चाहिए"। वास्तव में, क्यों, क्योंकि "यह हमारा प्रमाण पत्र नहीं है"?

आइए देखें कि प्रमाणपत्र के समाप्त होने पर वास्तव में क्या होता है। कुछ साइट के पास प्रमाणपत्र तक मान्य था, उदाहरण के लिए, 30 फरवरी। सभी ब्राउज़रों और अन्य कार्यक्रमों ने खुशी से इस साइट पर एक सुरक्षित कनेक्शन स्थापित किया। 31 फरवरी को अचानक आया और प्रमाणपत्र समाप्त हो गया। क्या बदल गया है? क्रिप्टोग्राफिक कुंजी अभी भी चाबियाँ हैं, और प्रमाण पत्र पर हस्ताक्षर अभी भी प्रमाण पत्र से मेल खाते हैं। वैधता का क्या मतलब है?

औपचारिक रूप से, अर्थ बहुत सरल है - प्रमाणपत्र समाप्त होने के बाद, यह सत्यापित करना असंभव हो जाता है कि प्रमाण पत्र निरस्त कर दिया गया है या नहीं। तदनुसार, आप अभी भी सर्वर से एक कनेक्शन स्थापित कर सकते हैं, लेकिन कुछ मौका है कि इसका प्रमाण पत्र निरस्त कर दिया गया है, और इसे सत्यापित करना असंभव है। एक और कारण है - प्रमाणपत्र आमतौर पर एक तृतीय-पक्ष कंपनी द्वारा जारी किया जाता है और यह एक नया प्रमाणपत्र जारी करने के लिए धन प्राप्त करना चाहता है, लेकिन हम यह दिखावा करेंगे कि यह द्वितीयक है।

तदनुसार, क्लाइंट के पास तीन विकल्प हैं: या तो सर्वश्रेष्ठ के लिए आशा करें और एक कनेक्शन स्थापित करें, या उपयोगकर्ता को चेतावनी दें (चेतावनी को शायद अनदेखा कर दिया जाएगा) और एक कनेक्शन स्थापित करें, या कनेक्शन स्थापित करने से इनकार करें और एक त्रुटि संदेश दें।

सहित सॉफ्टवेयर का एक महत्वपूर्ण अनुपात Microsoft .NET फ्रेमवर्क, डिफ़ॉल्ट रूप से, तीसरा तरीका है। तदनुसार, यदि, उदाहरण के लिए, हमारी एबीबीवाई क्लाउड ओसीआर एसडीके सेवा एक प्रमाण पत्र की समय सीमा समाप्त करती है, तो हमारे कई उपयोगकर्ता सुरक्षित कनेक्शन के माध्यम से हमारे साथ काम करने में सक्षम नहीं होंगे, क्योंकि उनका सॉफ्टवेयर बस कनेक्शन स्थापित करने से इनकार कर देगा।

फरवरी में एज़्योर स्टोरेज के साथ ठीक यही हुआ है। Windows Azure पर, कुछ सेवाएँ Azure Storage पर निर्भर करती हैं। इसलिए, जब एज़्योर स्टोरेज पर प्रमाणपत्र समाप्त हो गया, तो उन्होंने इसके साथ काम करने से इनकार कर दिया और न केवल तीसरे पक्ष के उपयोगकर्ता सेवाओं, बल्कि विंडोज एज़्योर सेवाओं का भी हिस्सा, परिवर्तनों की तैनाती और नई सेवाओं के निर्माण में बाधा उत्पन्न की।

तो, यह पता चला है कि यदि हमारा प्रमाण पत्र समाप्त हो जाता है, तो हमारे उपयोगकर्ताओं को समस्या होती है। और अगर हमारा प्रमाणपत्र समाप्त नहीं होता है, तो हमारे उपयोगकर्ताओं को अभी भी समस्या होगी क्योंकि हमारी सेवा विफल हो जाएगी।

आपने अपना विचार नहीं बदला है कि हमें तीसरे पक्ष की सेवा के प्रमाण पत्र की जांच क्यों करनी चाहिए?

यह विशेष रूप से मुश्किल नहीं है। C # में प्रमाण पत्र तक पहुंचने के लिए कोड में 10 लाइनें होती हैं - आपको एक WebRequest बनाने की आवश्यकता होती है, सर्वर पर HTTP अनुरोध भेजते हैं, फिर अनुरोध के ServicePoint.Certificate गुण तक पहुंचते हैं। कुछ इस तरह:

var request = (HttpWebRequest)(WebRequest.Create(uri)); using(var response = request.GetResponse()) { } var serverCertificate = request.ServicePoint.Certificate; 

सुबह की कसरत इंटर्न के लिए एक सरल प्रोग्रामिंग व्यायाम। फिर यह सुनिश्चित करना बाकी है कि यह कोड उन प्रत्येक सेवाओं के URL के लिए स्वचालित रूप से प्रत्येक दिन में एक बार कहा जाता है, जिस पर हमारी सेवा निर्भर करती है। इसी समय, अपने स्वयं के प्रमाण पत्र की जांच करना हानिकारक नहीं है। यदि कोई प्रमाणपत्र दो सप्ताह से कम समय में समाप्त हो जाता है, तो हम आपको एक सूचना भेजेंगे। हां, यह अच्छा होगा यदि इन सूचनाओं को किसी ऐसे व्यक्ति द्वारा पढ़ा जाए जो उन्हें जवाब दे सके।

अब, जब वे समय सीमा से दो सप्ताह पहले प्रमाण पत्र को नवीनीकृत करना भूल जाते हैं, तो यह अब अचानक नहीं होगा, आप सेवा प्रदाता से पहले से संपर्क कर सकते हैं, समर्थन मंच पर एक संदेश छोड़ सकते हैं, सेवा पुनर्विक्रेता कंपनी के साथ बात कर सकते हैं - सामान्य तौर पर, इसके लिए बहुत अधिक जगह है। कार्रवाई।

या आप बस प्रदाता पर विश्वास कर सकते हैं, और फिर अपने उपयोगकर्ताओं को समझा सकते हैं कि "यह उनकी सभी गलती है।" उन्हें दोष देना है, लेकिन किसके उपयोगकर्ताओं को नुकसान होगा?

दिमित्री मेश्चेरीकोव,
डेवलपर उत्पाद विभाग