Ресурсы: техническое описание TLS, LaTeX - в картинки (img), криптографическая библиотека Arduino, шифр "Кузнечик" на ассемблере AMD64/AVX и ARM64
Всё же я пока восстановил свой экспериментальный сервер TLS 1.3 – tls13.1d.pw (некоторое время назад я писал, что собираюсь его совсем отключить). А чтобы восстановление выглядело поинтереснее, я реализовал на сервере поддержку постквантовой схемы получения общего секрета (KEM) X25519Kyber768. TLS с Kyber768 там реализован вручную, но я, впрочем, использовал криптопримитивы из удобной библиотеки Cloudflare.
Криптосистему с постквантовой схемой KEM Kyber768 в конце августа Google внедрил в браузер Chrome (в порядке эксперимента), так что можете проверить – на сервере у X25519Kyber768 повышен приоритет, поэтому, при наличии соответствующего открытого ключа в сообщении клиента, выбираться она должна довольно часто.
Вообще, открытый блок клиентского KeyShare в X25519Kyber768 весит аж 1216 байтов (32 + 1184, потому что это ключ X25519, 32 байта, плюс ключ постквантовой части Kyber768, который большой). Тем не менее, я всё же пока что сделал вывод этого ключа без сокращений, что, возможно, выглядит тяжеловато, но видно будет только в браузере с поддержкой данной криптосистемы. (Дополнение, 12/09/2023: технические подробности об использовании криптосистемы.)
Поддержка есть только в самых свежих версиях Chrome (>=116), а включать её нужно через флаги: chrome://flags, набрать “TLS13” в поиске, флаг называется “TLS 1.3 hybridized Kyber support”.
(Не знаю, будет ли у меня возможность поддерживать сервер далее, так что в какой-то момент он может отключиться, теперь уже даже и без предупреждения, но посмотрим; ошибки подключения, естественно, могут быть и по другим причинам – это, всё ж, экспериментальный сервер.)
Комментировать »
Записок в августе 2023 года вышло достаточно, чтобы некоторые отметить отдельно:
“Пятый постулат Евклида в древнем исполнении” – кратко об одном из первоисточников по теме оснований геометрии. Кстати, с формулировками постулатов Евклида в древних изложениях ещё много чего интересного есть, возможно, если получится, то попробую вернуться к этой теме в подробностях (вообще, история математики, оказывается, местами довольно странно искажается даже в современных популярных представлениях; конечно, не в такой степени, как, например, в случае расхожего утверждения “Аристотель считал, что тяжёлые тела падают быстрее, потому что не догадался провести эксперимент”, но тем не менее);
“Нормализация символов Unicode и доменные имена” – полезное описание одной весьма тонкой технической особенности применения Unicode в тех редких случаях, где применять Unicode не стоило бы;
“STARTTLS и SMTP” – как TLS “приспособительным” способом прицепляется к SMTP;
“Выключение вариантов в двухщелевом опыте” – небольшая реплика из области интерпретации квантовой механики (вообще-то, напрямую относится к “Аристотель не догадался провести опыт”, но отношение это требует пояснения, конечно);
“Широкие проблемы применения ИИ” – из совсем свежих записок: интерпретация “перебора коэффициентов” в современной практике ИИ.
Комментировать »
Вот так представляется бот, собирающий веб-страницы для разновидностей ChatGPT: “Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; GPTBot/1.0; +https://openai.com/gptbot)”. В августе бот почему-то особенно активен на dxdt.ru, где, собственно, и был мной замечен в логах.
Комментировать »
Записок, которые вышли на dxdt.ru в июле 2023 года, снова достаточно, чтобы некоторые из них отметить отдельно, а именно:
Комментировать »
В 2018 году я разработал и опубликовал по адресу tls13.1d.pw тестовый сервер для проверки приложений, поддерживающих TLS 1.3. Строго говоря, тогда именно TLS 1.3 (в смысле обозначения версий) ещё не было, а был черновик спецификации, которую, в экспериментальном режиме, поддерживали некоторые распространённые клиенты, например, браузеры Chrome и Firefox. На серверной стороне дело обстояло похуже – поддержки в стабильных версиях распространённых веб-серверов не было совсем.
Сейчас TLS 1.3 стал типовой, очень распространённой версией TLS, используемой в вебе (и не только в вебе), поэтому, думаю, тестовый сервер больше не нужен: отключение tls13.1d.pw я запланировал на конец августа 2023 года (возможно, раньше).
Собственно, всякий современный TLS-сервер для HTTPS должен поддерживать TLS 1.3 в качестве основного, а TLS 1.2 – в качестве “запасного” варианта. Прочие версии можно отключить, ну, кроме весьма редких случаев, когда требуется совместимость с очень старыми приложениями – к сожалению, некоторым веб-сервисам приходится тянуть поддержку старых клиентов. Однако для остальных – можно даже оставить только TLS 1.3: этот протокол портировали на самые старые и экзотические системы. Кроме того, TLS 1.3, на данный момент, лучшая версия, которая архитектурно превосходит все предыдущие.
(Update, 09/09/2023: сервер пока что восстановлен и работает – подробности.)
Комментировать »
В июне 2023 года на dxdt.ru снова вышло достаточное количество записок, чтобы некоторые из них отметить отдельно, а именно:
Комментировать »
На сайте ТЦИ опубликована моя статья о том, как и почему можно использовать “TLS по ГОСТ” и “обычный TLS” параллельно для веба.
Комментировать »
В мае 2023 на dxdt.ru вышло достаточное количество записок, чтобы некоторые из них отметить отдельно, а именно:
- Исчезновение “фрагментации Интернета” с разных точек зрения;
- Перспективный ИИ в “разработке кода”;
- Технократический аспект Нового Средневековья;
- Несколько комментариев “около 3d-печати”;
- Алгоритм Шора и Вселенная кубиками.
(А кроме того – внутренний идентификатор, привязанный к добавлению заметок, перевалил за 10000; но это просто технический идентификатор, количество заметок в базе dxdt.ru на данный момент существенно меньше: 2,732.)
Комментировать »
За несколько лет я написал некоторое количество полезных статей об интернет-технологиях на сайт ТЦИ, вот ссылки и краткие пояснения:
Certificate Transparency в современном Интернете
Статья о Certificate Transparency (CT). Это довольно техническая статья, которая, впрочем, рассказывает не столько о методах построения CT (про это и так много написано), сколько о не самых очевидных особенностях работы данной технологии на практике: полноте логов, реальному значению технологии в случае малого количества УЦ и т.д. (Отдельно рекомендую почитать, как весьма актуальную, и в стиле “на “Хабре” такого не пишут”.)
Сертификаты удостоверяющих центров TLS
Небольшая статья о том, какие и почему встречаются сертификаты УЦ.
Доступ к скрытым TLS-сервисам: Encrypted Client Hello
Encrypted Client Hello (способ сокрытия метаинформации в TLS) с примерами и описанием принципов построения, назначения, а также перспектив.
DNS в качестве инструмента публикации вспомогательной информации
Использование DNS-записей для публикации информации о настройках и свойствах других интернет-протоколов: типы DNS-записей, примеры и др. Речь про TXT для DKIM/DMARC, про SSHFP и подобные малоизвестные, но весьма полезные, записи.
DNSSEC: доверие по цепочке
Популярное описание DNSSEC, на которое можно ссылаться.
DNS-доступ под защитой: DoT и DoH
Принцип работы и способы применения технологий DNS-over-TLS и DNS-over-HTTPS, их место в общей “парадигме” инструментов защиты информации.
TLS 1.3 на веб-узлах Рунета
Количественная оценка распространённости узлов с корректно настроенным протоколом TLS версии 1.3 и валидным TLS-сертификатом в зонах .RU, .SU и .РФ. Данные актуальны на 2020 год.
Заголовки HTTP и их роль в обеспечении безопасности
Описание HTTP-заголовков, предназначенных для повышения безопасности доступа к сайтам. Content-Security-Policy и др.
ESNI как защита TLS от утечек метаинформации
Подробный рассказ про ESNI. Это 2019 год, с тех пор от ESNI отказались, но статья представляет исторический интерес.
Комментировать »
Между прочим, RSS остаётся одним из немногих полезных инструментов трансляции сообщений между сайтами и приложениями. Например, на dxdt.ru трансляция новых записок доступна по обычному и привычному адресу: https://dxdt.blog/feed/, что актуально во времена централизации по telegram-каналам (предположим) и разнообразным сервисам типа Facebook. Читать RSS можно разными способами. Я довольно давно использую удобное серверное решение – Tiny Tiny RSS. Уже писал про этот полезный пакет раньше, почти десять лет назад, но упомяну ещё раз, тем более, что он продолжает поддерживаться. Сейчас я использую вариант в docker-контейнере. TT-RSS работает без нареканий, есть даже отправка дайджеста почтой, а просматривать ленту сообщений можно браузером. Конечно, есть различные программы “стороны клиента”. Например, Akregator из KDE. Но серверное решение часто удобнее, на мой взгляд.
Комментировать »
Новый 