आपके उपयोगकर्ताओं की सुरक्षा: OAuth, SSL, P2P RSA के साथ चैट करें, i2p में गेट

डूबने वाले लोग खुद को बचाने के लिए नहीं जा रहे हैं, इसलिए हम आपको आपकी साइट पर आगंतुकों की सुरक्षा बढ़ाने के लिए चार सरल कदम उठाने का सुझाव देते हैं।

स्नोडेन के खुलासे को पढ़ने के बाद, हमने थोड़ा काम करने का फैसला किया। मैं आपको हमारे कार्यान्वयन अनुभव, परिणाम और उपयोगकर्ता प्रतिक्रियाओं के बारे में बताऊंगा।

चरण 1. पंजीकरण के बिना

यदि उपयोगकर्ता के पास कोई खाता नहीं है, तो उसे तोड़ा या चोरी नहीं किया जाएगा। साइट की मुख्य कार्यक्षमता पंजीकरण के बिना उपलब्ध होनी चाहिए। यदि कुछ कारणों से कुछ उपयोगकर्ताओं के लिए पंजीकरण आवश्यक है, तो हम OAuth का अधिकतम उपयोग करते हैं। एक ही पासवर्ड से vkontakte को सिरदर्द के साथ Google करें, और आपके साथ नहीं। यह निर्देशों के अनुसार कुछ घंटों में किया जाता है ( कई हैं )।

इस कदम के परिणाम: अधिक "एक बार" प्रोफाइल।

चरण 2. केवल एसएसएल, केवल कट्टर

कुल लॉग के युग में, उपयोगकर्ता केवल आपकी साइट का उपयोग करने से डर सकते हैं क्योंकि वे नहीं चाहते हैं कि कोई व्यक्ति यह जानना चाहे कि आपके खोज इंजन में वे किस तरह के पृष्ठ देख रहे हैं, उन्होंने क्या लेख देखा है, वे कौन से लेख पढ़ते हैं, वे किस मंच पोस्ट को छोड़ देते हैं। यह विशेष रूप से महत्वपूर्ण है यदि आपके पास बहुत अधिक भिन्न (जैसे हमारे) सामग्री है। समाधान सरल है - सभी के लिए https चालू करें।
हमें यहां उदाहरण के लिए एक मुफ्त प्रमाण पत्र मिलता है ।
हम आधिकारिक साइट से ताजा नंगेक्स लेते हैं, सेट करते हैं, कॉन्फ़िगरेशन संपादित करते हैं।
विन्यास उदाहरण:

server { listen 80; listen 443 ssl; ssl_certificate _.pem; ssl_certificate_key _.key.decr; location /socket.io/ { proxy_pass :___signalmaster; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; } location / { #       https if ($ssl_protocol = "") { rewrite ^ https://$server_name$request_uri? permanent; } proxy_pass http://rp_ups; } server_name rospravosudie.com www.rospravosudie.com; } upstream rp_ups { #   -   } 

जांचें कि क्या सब कुछ काम करता है।

आप तृतीय-पक्ष संसाधनों, YouTube वीडियो और अन्य को खो देंगे जो आप (या उपयोगकर्ता) एक्सेस प्रोटोकॉल के संकेत के साथ पोस्ट करते हैं। यह काफी सरलता से व्यवहार किया जाता है - ग्रंथों में https को स्वतः पूर्ण करें। यदि तृतीय-पक्ष संसाधन "ssl को नहीं जानते", तो चित्र गायब हो जाएंगे, इसलिए उन्हें अग्रिम में कैश करना बेहतर होगा। एक सुविधाजनक संकेत हमेशा एक प्रोटोकॉल को निर्दिष्ट किए बिना // लिंक का उपयोग करना है - डिफ़ॉल्ट रूप से, ब्राउज़र वर्तमान प्रोटोकॉल (https) का उपयोग करके उन्हें खोलने का प्रयास करेगा।

सांख्यिकी काउंटर कोड को अपडेट करना भी आवश्यक होगा - Google Analytics, Liveinternet और Yandex.Metrica ssl पर बहुत अच्छा काम करते हैं। AdSense कोड के बारे में कोई समस्या नहीं है, यांडेक्स और अन्य प्रणालियों के बारे में - कोशिश नहीं की है।

खोज इंजन द्वारा अनुक्रमण के साथ कोई असामान्य परिणाम नहीं हैं - Google और यैंडेक्स दोनों सूचकांक पहले की तरह।

परिणाम: प्रदाता यह नहीं देखते हैं कि आपके आगंतुक क्या सामग्री देख रहे हैं (और केवल प्रदाता नहीं)। उन्नत उपयोगकर्ता चुपचाप खुश हैं, बाकी कुछ भी नोटिस नहीं करते हैं।

नोट: सर्वर लोड, प्रतिशत के आधार पर, त्रुटि के स्तर पर थोड़ा बढ़ जाता है।

चरण 3. क्रिप्टिको

यदि आप उपयोगकर्ता संदेशों को संग्रहीत नहीं करते हैं, तो वे कभी चोरी नहीं होंगे। यदि आप उन्हें नहीं पढ़ सकते हैं, तो अधिकांश हमलावर सक्षम नहीं होंगे।

उपयोगकर्ताओं के बीच संचार में गोपनीयता बनाए रखने के लिए, हमने ग्राहकों (ब्राउज़र में) पर P2p एन्क्रिप्शन लागू किया और क्रिप्टेड टेक्स्ट को सेव नहीं किया (आदर्श रूप से, इसे सीधे चलाया जाना चाहिए)।

चैट में, हम RSA का उपयोग करने वाले उपयोगकर्ताओं के बीच संदेशों को एन्क्रिप्ट करते हैं। इसके लिए हम उपयोग करते हैं, उदाहरण के लिए, क्रिप्टो लाइब्रेरी (यह github.com/wwwtyro/cryptico github पर स्थित है), हम प्रत्येक संचार सत्र में कुंजियों को अपडेट करते हैं।

नोड.जेएस और सॉकेट.आईओ पर चैट का काम करता है (चैट के उदाहरण हैबे पर हैं)। सिग्नल सर्वर nginx के पीछे छिपा हुआ है (ताजा nginx प्रॉक्सी वेब सॉकेट को प्रॉक्सी कर सकता है), सिग्नल सर्वर के लिए nginx ssl के माध्यम से कार्यान्वित किया जाता है।

एक दुष्प्रभाव संदेश इतिहास की कमी है। यह पता लगाना असंभव है कि उपयोगकर्ता किस बारे में बात कर रहे हैं । संदेश केवल ऑनलाइन भेजे जा सकते हैं।

चरण 4. आई 2 पी में दर्पण उठाएं

आपके कुछ उपयोगकर्ता आपकी साइट पर जाने के तथ्य (व्यक्तिगत कारणों से) छिपाना चाह सकते हैं। उनके कार्य को जटिल न करें।

RuNet में लगभग TOR और I2P के उपयोगकर्ताओं की संख्या समान है (लगभग 15-20 हजार दैनिक रहने वाले लोग), TOR उपयोगकर्ता अपने दम पर सामना कर सकते हैं, इसलिए यह I2P में दर्पण को बढ़ाने के लिए समझ में आता है।

निर्देशों के अनुसार यह बहुत जल्दी किया जाता है (http://habrahabr.ru/post/158559/ और habrahabr.ru/post/97996/ )

नोट: "मिरर वर्जन" कोड से सभी अनावश्यक जावास्क्रिप्ट, सांख्यिकी कोड, अन्य लोगों की सेवाओं, चित्रों, आदि के कॉल को हटाने के लिए मत भूलना, ताकि गलती से अपने आगंतुकों से समझौता न करें। बेशक, प्रत्येक I2P उपयोगकर्ता के लिए, साथ ही बाहरी साइटों के लिए अवरुद्ध पहुंच के लिए noscript स्थापित किया जाना चाहिए, लेकिन, जैसा कि अभ्यास से पता चलता है, विपरीत स्थिति काफी सामान्य है।

परिणाम: आपको समझ नहीं आ रहा है कि ये सभी लोग कौन हैं?

सामान्य तौर पर, एन्क्रिप्शन आसान और सुखद है!

सामान्य तौर पर, हम आपसे रनेट को थोड़ा और निजी क्षेत्र बनाने का आग्रह करते हैं । DPI के कार्यान्वयन में नवीनतम रुझानों को ध्यान में रखते हुए, 12-घंटे के ट्रैफिक स्टोरेज, कॉपीराइट के लिए लड़ाई में प्रभाव-परीक्षण के बिना लॉक-अप - यह काम में आ सकता है (मुझे उम्मीद नहीं है)।

आप प्रोफ़ाइल में साइट पर चैट की कोशिश कर सकते हैं।
पीएस कंस्ट्रक्टिव पैरानॉयड सुझाव, आलोचना और "फ़ॉइल कैप्स में लोग" से सवाल स्वागत है।
पीपीएस यदि आप क्रिप्टोकरंसी के अधिक विश्वसनीय एनालॉग्स जानते हैं - टिप्पणियों में लिखें।

युपीडी। कुछ नहीं से पुनर्जन्म, हैरान मत होना :)

upd2। हटाए गए टिप्पणियों से कुछ जानकारी:

स्टैरियस :

पत्राचार के एन्क्रिप्शन (साइट पहले से ही इसकी अनुमति देता है) को न केवल उत्तेजित करने के लिए बल्कि (साइट सहित) से पत्राचार के तथ्य को छिपाने के लिए " टॉर्चर " फ़ील्ड दर्ज करें ।

सहजीवन :

if ($ ssl_protocol = "") {rewrite ^ https: // $ server_name $ request_uri? स्थायी; }
यह एक बुरा तरीका है। यह सही है - कुछ इस तरह:
सर्वर {सुनो 80; स्थान / {वापसी 301 rospravosudie.com $ uri $ is_args $ args; }}
होस्टनाम जानबूझकर स्पष्ट रूप से लिखा गया है ताकि जो लोग दर्ज करें, कहते हैं, आईपी पते, लाल कचरा से डरते नहीं हैं। server_name हमेशा लागू नहीं होता है (यदि यह इस कॉन्फ़िगरेशन में फिट होने की गारंटी है, तो आप इसका उपयोग भी कर सकते हैं)।

नमस्ते १ :

301 रीडायरेक्ट भी सही तरीका नहीं है। इसे एचएसटीएस के साथ जोड़ा जाना चाहिए।
add_header सख्त-परिवहन-सुरक्षा अधिकतम आयु = 31536000;
फिर आधुनिक ब्राउज़र स्वयं साइट के आंतरिक लिंक के लिए सभी http को https के साथ बदल देगा।

ivlad :

RSA1024 वर्तमान मानकों द्वारा पर्याप्त नहीं है। RSA2048 का उपयोग करने की आवश्यकता है। इसके अलावा, आप टीएलएस के आधुनिक संस्करणों का उपयोग नहीं करते हैं - केवल 1.0 (और एसएसएलवी 3)। आपको नग्नेक्स और ओपनसेल को अपग्रेड करना चाहिए।

ताला :

आप कितना दोहरा सकते हैं: अपने स्वयं के एल्गोरिदम और फिर से अजनबी का आविष्कार करना बंद करें, खासकर यदि आप क्रिप्टोग्राफी को समझते हैं! यहाँ कई बार Cryptico में ऐसा मोती है:
if (navigator.appName == "नेटस्केप" && navigator.appVersion <"5" && ​​window.crypto) {

वास्तव में, अगर एक सामान्य RNG एन्ट्रापी पूल की जरूरत है अगर navigator.appVersion <"5"? चलो फ़ायरफ़ॉक्स, क्रोम और IE के नवीनतम संस्करणों के सभी उपयोगकर्ताओं को मिलीसेकंड टाइमर से चक्र द्वारा उत्पन्न एन्ट्रापी पूल प्राप्त करने के लिए बने रहें।