R\u00e9cemment, j'ai aid\u00e9 des amis \u00e0 faire face \u00e0 un DDoS sur le serveur et j'ai d\u00e9couvert un probl\u00e8me assez fatal : beaucoup de gens pensaient que tout allait bien sur le CDN de haute d\u00e9fense, les r\u00e9sultats du certificat SSL ne comprenaient pas, le trafic n'allait pas vers le n\u0153ud de haute d\u00e9fense a \u00e9t\u00e9 transperc\u00e9. De nos jours, m\u00eame le CDN doit \u201cpr\u00e9venir les co\u00e9quipiers\u201d, les d\u00e9tails de configuration peuvent vraiment tuer les gens.<\/p>\n
J'ai vu la situation la plus scandaleuse : une station de commerce \u00e9lectronique avec des solutions de haute s\u00e9curit\u00e9, mais en raison de l'absence de cha\u00eene de certificats, les utilisateurs d'Apple re\u00e7oivent tous un avertissement de s\u00e9curit\u00e9, la perte de la journ\u00e9e 23% commandes iOS. certificats ssl cette chose est juste comme votre cylindre de serrure de porte de s\u00e9curit\u00e9 de la maison, semble discret, vraiment hors de question quand vous pouvez sauver votre vie.<\/p>\n
Pourquoi est-il plus important de pr\u00eater attention aux certificats dans les environnements de haute d\u00e9fense ?<\/strong>Dans les d\u00e9ploiements traditionnels \u00e0 serveur unique, il est toujours possible de revenir rapidement sur une utilisation abusive des certificats. Cependant, dans l'architecture CDN, la mise \u00e0 jour des certificats implique une synchronisation globale des n\u0153uds p\u00e9riph\u00e9riques, ce qui peut entra\u00eener une interruption de l'acc\u00e8s global en cas de mauvaise configuration. En particulier pour les services de planification intelligente tels que CDN5, l'\u00e9tat du certificat affecte directement la strat\u00e9gie d'allocation du trafic.<\/p>\n Le test a r\u00e9v\u00e9l\u00e9 trois probl\u00e8mes fr\u00e9quents : premi\u00e8rement, la cha\u00eene de certificats est incompl\u00e8te, ce qui entra\u00eene l'\u00e9chec de la confiance des appareils Android, deuxi\u00e8mement, l'erreur de format de cl\u00e9 a d\u00e9clench\u00e9 le crash du n\u0153ud p\u00e9riph\u00e9rique Nginx, et troisi\u00e8mement, le certificat a expir\u00e9 apr\u00e8s que le fournisseur de services CDN a automatiquement r\u00e9trograd\u00e9 vers HTTP (08Host l'a d\u00e9j\u00e0 fait). Ne me demandez pas comment je le sais, c'est une le\u00e7on de sang et de larmes.<\/p>\n Let's Encrypt est maintenant un standard industriel, mais beaucoup de gens ne r\u00e9alisent pas que leur protocole ACME supporte d\u00e9j\u00e0 les certificats wildcard. J'ai l'habitude d'utiliser le sch\u00e9ma acme.sh, qui est plus l\u00e9ger que certbot :<\/p>\n Notez que l'authentification DNS est utilis\u00e9e ici au lieu de l'authentification HTTP habituelle. \u00c9tant donn\u00e9 que les CDN \u00e0 haute d\u00e9fense cachent g\u00e9n\u00e9ralement l'IP source, l'authentification HTTP \u00e9choue souvent. Il est n\u00e9cessaire d'aller du c\u00f4t\u00e9 du fournisseur de r\u00e9solution de noms de domaine pour configurer les enregistrements TXT, bien qu'il s'agisse d'une \u00e9tape suppl\u00e9mentaire, mais le taux de r\u00e9ussite est de 100%.<\/p>\n Ne vous pr\u00e9cipitez pas pour d\u00e9ployer le syst\u00e8me une fois que la demande de certificat a abouti, v\u00e9rifiez d'abord l'int\u00e9grit\u00e9 de la cha\u00eene. Une fois, j'ai \u00e9t\u00e9 suffisamment pi\u00e9g\u00e9 - l'acc\u00e8s au navigateur est \u00e9videmment normal, mais le client Java a tous signal\u00e9 des erreurs. J'ai d\u00e9couvert plus tard que le certificat interm\u00e9diaire \u00e9tait manquant :<\/p>\n La cha\u00eene compl\u00e8te doit contenir trois parties : le certificat de domaine, le certificat interm\u00e9diaire R3 de Let's Encrypt et le certificat racine de l'EIGR. La console de CDN07 cr\u00e9era automatiquement la cha\u00eene compl\u00e8te, mais CDN5 doit t\u00e9l\u00e9charger le fichier de la cha\u00eene compl\u00e8te manuellement.<\/p>\n Passons maintenant au segment du d\u00e9ploiement cibl\u00e9.<\/strong>Les op\u00e9rations varient consid\u00e9rablement d'un fournisseur de CDN \u00e0 l'autre :<\/p>\n La console de 08Host est la plus anti-humaine, demandant en fait de fusionner la cl\u00e9 priv\u00e9e et le certificat dans un seul fichier pem :<\/p>\n Un mauvais format conduit directement au n\u0153ud national 502, le t\u00e9l\u00e9phone du service client\u00e8le peut \u00eatre cass\u00e9. Il est recommand\u00e9 de v\u00e9rifier d'abord la configuration avec un domaine de test, puis de couper le nom de domaine principal apr\u00e8s 10 minutes d'observation \u00e0 l'\u00e9chelle grise.<\/p>\n L'interface API de CDN5 est plut\u00f4t bien faite pour \u00eatre g\u00e9r\u00e9e avec des scripts automatis\u00e9s. Voici la partie principale du script de renouvellement de certificat que j'ai \u00e9crit en Python :<\/p>\n Ne croyez pas les tutoriels qui disent \u201cr\u00e9glez simplement la date d'expiration du certificat sur le renouvellement automatique\u201d. Le m\u00e9canisme de mise en cache du CDN de haute d\u00e9fense peut retarder le renouvellement du certificat jusqu'\u00e0 4 heures. Il est pr\u00e9f\u00e9rable de d\u00e9finir un rappel de calendrier 30 jours \u00e0 l'avance. J'avais l'habitude d'effectuer trois op\u00e9rations de renouvellement 15 jours, 7 jours et 3 jours avant la date d'expiration.<\/p>\n En ce qui concerne l'automatisation, acme.sh est en fait livr\u00e9 avec une int\u00e9gration CDN. Il prend en charge les plateformes courantes telles que Aliyun, Tencent Cloud, Cloudflare, etc., mais les fournisseurs de services de haute d\u00e9fense doivent \u00e9crire leurs propres scripts d'accroche. Ce cas de d\u00e9ploiement vers CDN07 vaut la peine d'\u00eatre consult\u00e9 :<\/p>\n Veillez \u00e0 la s\u00e9curit\u00e9 des cl\u00e9s lors de l'automatisation des d\u00e9ploiements. Une fois, une entreprise a cod\u00e9 en dur la cl\u00e9 API dans un script et l'a t\u00e9l\u00e9charg\u00e9 sur GitHub, ce qui a entra\u00een\u00e9 le vol du certificat par un gang de chantage pour \u00e9mettre un nom de domaine malveillant. Il est recommand\u00e9 d'utiliser un sch\u00e9ma de cl\u00e9 dynamique qui actualise automatiquement le jeton d'acc\u00e8s \u00e0 l'API toutes les 24 heures.<\/p>\n Un dernier mot sur le choix du type de certificat. Si les certificats gratuits sont agr\u00e9ables, les certificats payants sont recommand\u00e9s pour les sc\u00e9narios d'entreprise. Ce n'est pas l'argent qui br\u00fble, mais le fait que les certificats OV (Organisation Validation) et EV (Extended Validation) ont une meilleure compatibilit\u00e9 avec le Trusted Root Certificate Store. Certaines agences gouvernementales ou applications bancaires exigent m\u00eame des certificats EV ou refusent de se connecter.<\/p>\n Le probl\u00e8me le plus \u00e9trange que j'aie jamais rencontr\u00e9 : un client utilisait des certificats GeoTrust, mais signalait toujours une erreur de confiance en Afrique du Sud. Plus tard, la capture de paquets a r\u00e9v\u00e9l\u00e9 que l'op\u00e9rateur local avait d\u00e9tourn\u00e9 le processus d'\u00e9change SSL. La solution a consist\u00e9 \u00e0 forcer l'activation de \u201cHSTS\u201d dans la configuration du CDN et \u00e0 le pr\u00e9charger dans le noyau du navigateur :<\/p>\n Avec le recul, la configuration d'un certificat SSL est en fait un travail d'expert. Mais chaque lien peut cacher un gouffre profond, depuis le format du certificat, l'int\u00e9grit\u00e9 de la cha\u00eene, la synchronisation du d\u00e9ploiement jusqu'au d\u00e9bogage de la compatibilit\u00e9, o\u00f9 l'erreur peut vous r\u00e9veiller au milieu de la nuit. Il est recommand\u00e9 d'\u00e9tablir une liste de contr\u00f4le et de cocher chaque \u00e9l\u00e9ment \u00e0 chaque op\u00e9ration :<\/p>\n Une fois, j'ai \u00e9t\u00e9 appel\u00e9 \u00e0 trois heures du matin pour traiter une d\u00e9faillance de certificat, et j'ai d\u00e9couvert que le n\u0153ud p\u00e9riph\u00e9rique du CDN avait mis en cache le certificat expir\u00e9. Plus tard, j'ai pris l'habitude de toujours vider le cache du CDN apr\u00e8s avoir mis \u00e0 jour le certificat :<\/p>\n Pour \u00eatre honn\u00eate, les solutions d'automatisation des certificats sont d\u00e9sormais bien \u00e9tablies, mais je persiste \u00e0 passer en revue manuellement les \u00e9tapes cl\u00e9s. Les machines font gagner du temps, mais les gens pensent aux exceptions. Apr\u00e8s tout, lorsque les choses tournent mal, le patron ne veut pas entendre : \u201cC'est la faute du script d'automatisation\u201d.<\/p>\n R\u00e9cemment, CDN5 a lanc\u00e9 un service d'h\u00e9bergement de certificats, qui peut \u00eatre renouvel\u00e9 et d\u00e9ploy\u00e9 automatiquement, la vitesse de r\u00e9ponse mesur\u00e9e est beaucoup plus rapide que celle de 08Host. Mais l'exploitation et la maintenance de la vieille \u00e9cole comme moi, ou plus de confiance en eux-m\u00eames pour contr\u00f4ler l'ensemble du processus. Il s'agit peut-\u00eatre de l'ent\u00eatement des techniciens d'\u00e2ge moyen, qui pr\u00e9f\u00e8rent \u00e9crire 200 lignes de script, mais qui ne veulent pas non plus c\u00e9der la place \u00e0 d'autres.<\/p>\n J'esp\u00e8re que ces exp\u00e9riences vous aideront \u00e0 \u00eatre moins frustr\u00e9s. Rappelez-vous qu'il n'y a pas de s\u00e9curit\u00e9 \u00e0 99 %, mais seulement z\u00e9ro et cent. Un travail de base comme la configuration de certificats m\u00e9rite l'attitude la plus parano\u00efaque qui soit.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, j'ai aid\u00e9 des amis \u00e0 faire face \u00e0 un DDoS sur le serveur et j'ai d\u00e9couvert un probl\u00e8me assez fatal : beaucoup de gens pensaient que tout allait bien sur le CDN de haute d\u00e9fense, les r\u00e9sultats du certificat SSL ne comprenaient pas, le trafic n'allait pas vers le n\u0153ud de haute d\u00e9fense a \u00e9t\u00e9 perc\u00e9. De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d, les d\u00e9tails de configuration peuvent vraiment tuer les gens. J'ai vu la situation la plus scandaleuse : une station de commerce \u00e9lectronique dot\u00e9e d'un syst\u00e8me de d\u00e9fense de haut niveau, mais en raison de l'absence de cha\u00eene de certificats, les utilisateurs d'Apple ont tous re\u00e7u un avertissement de s\u00e9curit\u00e9, la perte de 23% commandes iOS. Le certificat SSL est comme le cylindre de la serrure de la porte de s\u00e9curit\u00e9 de votre maison, il semble discret, mais il n'est vraiment pas question de sauver votre vie. Pourquoi devons-nous accorder plus d'attention aux certificats dans un environnement de haute d\u00e9fense ? Dans le cadre d'un d\u00e9ploiement traditionnel sur un seul serveur, l'utilisation abusive des certificats peut \u00eatre rapidement corrig\u00e9e. Cependant, dans l'architecture CDN, la mise \u00e0 jour des certificats implique une synchronisation globale des n\u0153uds p\u00e9riph\u00e9riques.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1021","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1021","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1021"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1021\/revisions"}],"predecessor-version":[{"id":1104,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1021\/revisions\/1104"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1021"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1021"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1021"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1021"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}