6 Сентябрь 2018

Обновление ключа корневой зоны DNS


В конце августа 2018 года ICANN выпустила напоминание о запланированном на октябрь текущего года обновлении ключа подписей Key Sigining Key (KSK) корневой зоны DNS который является ключевым звеном в цепочке доверия DNSSEC.

Впервые корневая зона "." была подписана в 2010 году и с тех пор ключи цифровой подписи не обновлялись ввиду ряда объективных причин, начиная с отсутствия разработанной безопасной процедуры этого обновления и заканчивая неизвестными побочными эффектами, которые могут возникнуть в процессе транзита. Ввиду того, что автор уже довольно подробно останавливался на вопросах механизмов функционирования DNSSEC, а также вопросах практического внедрения этого механизма, далее будут затронуты лишь практические аспекты грядущего обновления.

Читать далее

27 Август 2018

Блог переехал на Bludit 3


Вчера мой блог переехал на предрелиз новой версии системы управления контентом Bludit 3.

Несмотря на то, что внешне сайт практически не изменился, движок новой версии перетерпел заметные изменения. Впрочем, чтобы не спешить с опубликованием новшеств до момента выхода официального релиза, отложу эту информацию на потом.

Bludit является представителем семейства flatfile систем управления контентом, которые не используют внешних баз данных, что обусловливает минимальные требования к хостингу. Бэкэнд написан на PHP и совместим с любыми версиями, начиная с 5.3. Я написал и поддерживаю несколько плагинов для Bludit:

  • a2a — кнопки размещения публикации где угодно посредством AddToAny;
  • ads4u — добавляет рекламный (на самом деле, любой) код на страницу;
  • yandextools — подключает Яндекс.Вебмастер и Яндекс.Метрика.

В связи с обновлением API в новом релизе все плагины были модифицированы с учётом изменений. Предыдущие версии перенесены в отдельные репозитории на Github с суффиксами -1 или -2 в зависимости от совместимости со старыми версиями.

Читать далее

30 Март 2018

Переезжаем на wildcard сертификаты Let's Encrypt


Let's encrypt за относительно короткий промежуток времени стал самым популярным в мире центром сертификации (CA) по выпуску TLS-сертификатов. Причиной тому является, во-первых, бесплатность получения сертификата для любого желающего и, во-вторых, удобный механизм его выпуска и продления, когда благодаря множеству способов и программных средств данный процесс можно легко автоматизировать.

Сегодня Let's Encrypt занимает свыше 2/3 общего объёма видимых в Интернет TLS-сертификатов и доля его растёт.

Однако, до недавнего времени эта динамика несколько сдерживалась отсутствием возможности получить т.н. wildcard-сертификат, то есть такой, который покрывает все поддомены в рамках существующего домена более высокого уровня. Несмотря на то, что стандартный механизм Let's Encrypt позволяет иметь в одном сертификате до 200 различных доменов через расширени TLS SNI, это далеко не всегда удобно, ведь для каждого нового домена приходилось включать его в состав уже имеющегося сертификата или выпускать новый.

Ситуация изменилась в марте 2018 года, когда был официально запущен новый протокол и API к нему ACMEv2, одним из ключевых новшеств которого стало появление возможности выпуска wildcard-сертификатов.

Читать далее

25 Март 2018

Безопасность и защита DNS трафика


Служба DNS или Domain Name System является базовым сервисом сети Интернет, а также иных сетей работающих на базе семейства протоколов TCP/IP, и используется для получение соответствия имени узла в сети соответствующему ему цифровому адресу.

Несмотря на столь простое описание DNS является, пожалуй, самой сложной по своей структуре и набору взаимодействий сетевой службой от надёжной работы которой зависит надёжная работа всех и вся.

Автор уже затрагивал вопросы функционирования DNS в цикле статей в разрезе наиболее современных и актуальных практических вопросов внедрения DNSSEC. Напомню, что DNSSEC обеспечивает удостоверение записей DNS при помощи цифровых подписей, чем защищает их от возможной подмены. Однако, при этом, все данные всегда передаются в открытом виде и никак не защищены от просмотра в процессе транзита и, при отсутствии цифровой подписи, при желании с лёгкостью могут быть модифицированы в тех или иных целях — от криминальных до цензурных.

Данная статья посвещена практическим способам защиты DNS трафика.

Читать далее

5 Февраль 2018

Открываем исходящий SMTP трафик по IPv6 на DigitalOcean


Хостинг-провайдер DigitalOcean пользуется большой популярностью среди размещающих свои ресурсы и сервисы в сети Интернет. Не буду перечислять его преимущества, которые и так достаточно широко известны. Остановлюсь лишь на одном из недостатков, который может стать неприятной неожиданностью для впервые использующих ресурсы DigitalOcean, а именно невозможности использовать представляемые IPv6 адреса для исходящего почтового трафика. Для IPv6 заблокированы на выход порты 25, 465 и 587. При этом входящий трафик для IPv6 равно как и SMTP-трафик в обеих направлениях для IPv4 открыт.

Сам хостинг объясняет это тем, что не имеет возможности предоставлять для каждого сервера отдельную IPv6 подсеть /64 как того требует RFC и, по этой причине осуществляет блокировку исходящего почтового трафика в качестве превентивных мер по защите репутации IPv6 блока, который совместно могут использовать большое количество пользователей.

В качестве возможного решения автор предлагает использовать возможности туннелирования IPv6 адресов внутри IPv4 трафика обепечив, таким образом, использование выделенной подсети на удалённом хосте. Благодаря этому может быть обеспечен обход блокировок исходящего SMTP-трафика и возможность полноценной в этом плане работы на серверах DigitalOcean. Кроме того, получение полного набора адресов IPv6 /64 сети, вместо всего лишь /128 которая предоставляются хостингом, может быть полезно и для других размещаемых сетевых сервисов.

Читать далее

20 Декабрь 2017

Управление выбором исходящих IP адресов в Exim


В практике работы крупных почтовых систем и сервисов массовых почтовых рассылок одним из важных вопросов является проблема управлением выбором исходящих IP-адресов. Актуальность проблемы обусловлена рядом факторов, одним из которых является стандартное наличие ограничений на объём корреспонденции с одного IP, а также возможная вследствие этого или иных причин, к примеру, подозрений на рассылку спама, блокировка адресов.

В этой связи, обычной практикой для систем работающих с крупными объёмами электронной почты стало внедрение механизмов отслеживание возможных проблем и ротации используемого адресного пространства IP-адресов. Причём исходя из современной ситуации с исчерпанием свободной адресной ёмкости IPv4 и внедрением в массовую практику IPv6 работа с исходящим адресным пулом стала заметно сложнее.

Читать далее