İngiliz yazılım mühendisi ayrıca HTTP/3, sıfır güven ve lav lambasıyla çalışan kriptografi hakkında konuşuyor
RÖPORTAJ YAPMAK Web sitelerinin insan kullanıcıları botlardan ayırmanın güvenilir bir şekilde çileden çıkaran yolu olan CAPTCHA’ların hegemonyası – merhametle – tehlikede.
John Graham-Cummingweb güvenliği ve performans uzmanı Cloudflare’de baş teknoloji sorumlusu (CTO) şunları söylüyor: Günlük Swig Cloudflare, Apple, Google ve diğerleri tarafından geliştirilen alternatif bir teknolojinin, bisiklet, kamyonet veya trafik ışıkları içeren karelere tıklamayla ilgili sürtüşme ve gizlilik ihlallerini ortadan kaldırması.
İLİŞKİLİ WWDC 2022: Apple, yıllık geliştirici etkinliğinde yeni nesil güvenlik teknolojisini sergiliyor
Bu arada, CAPTCHA’lar – veya ‘Bilgisayarları ve İnsanları Ayırmak için Tamamen Otomatik Kamu Turing Testleri’ – 2009 yılında İngiltere hükümetinden ölümünden sonra özür dileyen efsanevi bilgisayar bilimcisi Alan Turing’e atıfta bulunuyor. Graham-Cumming tarafından çevrimiçi kampanya.
Graham-Cumming, POPDosya Brit Turing arkadaşıyla dikkate değer bir matematiksel keskinliği paylaşan mimar, HTTP/3, ‘sıfır güven’ mimarisi, dağıtılmış hizmet reddi (DDoS) manzarası ve rastgele, kriptografik sayılar üretmenin yeni yollarından da bahsediyor.
Daily Swig: Geçen ay Cloudflare Açıklanan Özel Erişim Jetonları, CAPTCHA’lara bir alternatif sunmak için ‘özel tasdik’ten yararlanan bir teknoloji. Bu kimlik doğrulama alanına odaklanma kararına ne sebep oldu?
John Graham-Cumming: CAPTCHA’ları seven var mı? Şimdiye kadarki en sinir bozucu şeylerdir ve genellikle web sitelerinde kullanılırlar, bu nedenle potansiyel olarak izleme için kullanılabilirler.
CAPTCHA’ları başka yöntemlerle değiştirerek zaman içinde kullanımımızı azalttık.
Özel onay, esasen bilinen bir cihazdan geldiğinizi gösterir. Elma kim olduğumu, cihazımı ne için kullandığımı biliyor ve bir web sitesine ‘Bu yasal bir insan, cihaz saldırıya uğramadı’ diyebiliyorlar.
Ve özel tasdik, Apple’ın kim olduğunuzu söylemeden yasal olduğunuzu kanıtlamak için bir grup akıllı şifreleme kullanır. Bunun, insanların gizliliğini koruyacak şekilde CAPTCHA’ları kaldıracağını düşünüyoruz.
WWDC 2022’de tanıtılan Özel Erişim Simgeleri, CAPTCHA katili olacak mı?
DS: Cloudflare ayrıca yeni ekledi yeni yetenekler hizmet olarak ağ sıfır güven platformu Cloudflare One’a. Sıfır güven mimarisine geçiş ne kadar önemli ve yeterince hızlı mı oluyor?
JGC: İşletmeler çalışanlarını, sunucularını ve uygulamalarını sıkı bir şekilde korunan duvarların içinde tutardı. Seyahat etmen gerekiyorsa, vardı VPN’ler.
Ancak uygulamalar SaaS, bulut ve mobil cihazlarla işin dışına çıkmaya başlayınca kale duvarları içeriden dışarıya fırladı. Aniden kale duvarları anlamsız geldi.
‘Sıfır güven’ çok daha esnek ve daha ucuz [alternative] ve Cloudflare uzun süredir bu alanda bir oyuncu.
Pandemiden önce ekiplerin uzaktan çalışmasına olanak tanıyan Cloudflare for Teams’i duyurduk ve Zerotrustroadmap.org İşletmelerin hangi uygulamaların güvenlik duvarının dışında ve içinde olacağını, nasıl bağlanacağınızı planlamasına yardımcı olmak, [and] kime bağlanıyorsun [with].
İşletmelerin genel olarak sıfır güvene doğru bir yolculukta olduğunu düşünüyorum. Bazıları daha gelişmiş, bazıları daha az gelişmiş. ABD federal hükümeti, doğru mimari olarak sıfır güvenden bahsetti.
İLİŞKİLİ ABD hükümetinin ‘sıfır güven’ yol haritası, çevre tabanlı paradigmaya zaman ayırıyor
Nasıl çalıştığımızı yansıtır ve Kovid bu trendi hızlandırdı çünkü aniden herkes evdeydi ve erişime ihtiyacı vardı.
Son zamanlarda çıkan haberler ne kadar önemliydi? HTTP/3 protokolü, RFC 9114 standardizasyonunu aldı?
JGC: Cloudflare’deki trafiğin yaklaşık %25’i zaten HTTP/3 kullanıyor ve büyük tarayıcılar bunu çok hızlı uyguluyor, bu nedenle açıkça çok hızlı bir şekilde ele alınıyor.
Bu düzeyde bir yenilik görmek harika çünkü çevrimiçi olarak yaptığımız hemen hemen her şey için HTTP’ye bağımlıyız.
HTTP/1.1 ve HTTP/2 arasında çok uzun bir standardizasyon süreci vardı, bu nedenle HTTP/3’ün oldukça hızlı bir şekilde takip edebildiği gerçeği, internette temel seviyelerde yenilik yapmaya gerçekten devam ettiğimizin bir işaretidir.
Müşterilerinizi DDoS saldırılarına karşı savunmak söz konusu olduğunda hangi önemli eğilimleri görüyorsunuz?
JGC: Saldırganlar artık ön kapının peşinden gitmekle kalmıyor, web sitenizi çevrimdışına alıyor. Artık saldırganlar, özellikle DNS, e-posta sunucunuz veya VPN sunucularınızın peşinden gidebilecekleri fidye ile ilgili DDoS’ta daha çok iş yapıyor.
Daha fazla siber güvenlik röportajı okuyun
İkincisi, hala çok büyük saldırılar olmasına rağmen, ağ düzeyinde, uygulama düzeyinde bir artış olmuştur. Ve bence bu kısmen, ağ düzeyindeki saldırılara karşı savunmada çok iyi olmamızdan kaynaklanıyor.
Ayrıca, saldırıların kaynağı olarak bulut sağlayıcılarının daha fazla kullanıldığını gördük. Bence bu kısmen saniye başına isteği gerçekten yüksek bir seviyeye çıkarmak içindir, çünkü daha fazla işlem gücü elde edersiniz ve web’deki her şey HTTPS haline geldiğinden, saldırılar da HTTPS üzerinden çalışır ve bu saldırgan için daha pahalıdır.
Cloudflare’den John Graham-Cumming: ‘İnternette temel seviyelerde yenilik yapmaya gerçekten devam ediyoruz’
Cloudflare’ın kullanımına ne ilham verdi? Lav Lambaları SSL şifrelemesi için rasgele sayılar oluşturmak için?
JGC: bu bir parçası [practically useful] ve parça sanat projesi. Farklı fiziksel süreçleri kullanarak her türlü yolla rasgele sayılar üretebilirsiniz. Radyoaktivite klasik bir [as ripening bananas can demonstrate] ve ilginç kuantum şeyler var.
En son şifreleme güvenliği haberlerini yakalayın
Londra’da çift sarkaçlardan oluşan bir duvarımız var, çünkü bir sarkaçla tutturulmuş bir sarkacın çok tahmin edilemez bir şekilde hareket ettiği ortaya çıkıyor.
Rastgeleliğin çevrimiçi ortamda güvenliği sağlamak için temel olduğunu belirtmek istedik, ancak bilgisayarlar rastgele sayılar oluşturma konusunda harika değil. Sana, bana ve diğer herkese tekrar tekrar tahmin edilmesi kolay olanı seçmememiz söylendi. şifreler – bu, ‘rastgele şifreler seç’ demenin bir yoludur.
Cloudflare, kurulduğu günden bu yana önemli ölçüde gelişti. 2009 yılında temel bir e-posta spam koruma platformu olarak. Önümüzdeki aylarda veya yıllarda gelişmeye nasıl devam edebilir?
JGC: Temel olarak Cloudflare, internete bağlı şeyleri daha hızlı, daha erişilebilir, daha güvenli ve daha özel hale getirir.
Ürün yol haritamız, bu özellikleri uygulama hizmetlerimiz (CDN) genelinde internete bağlı şeylere getirmekle ilgilidir. [content delivery network]DDoS, ağ hizmetleri ve bilgi işlem platformumuz Cloudflare Workers.
Biz son zamanlarda Alan 1 adlı bir e-posta koruma şirketi satın aldıbu nedenle e-posta bizim için büyük bir alan haline geliyor.
E-postayı unutmayın – eskidir, ancak yine de önemlidir. Şirketlerdeki güvenlik sorunlarının %80-90’ı gibi bir şey, kimlik avı ve benzeri şeyler yoluyla e-posta ile başlar.
Kariyerinizde en çok neyle gurur duyuyorsunuz ve neden?
JGC: Cloudflare’i 20’li yaşlardaki insanlardan güvenlik ve performans açısından herkesin internet kullanımı üzerinde gerçek bir etki yaratacak şekilde inşa etmek muhtemelen en tatmin edici şeydir.
Ve bunu meraklı, empatik, açık bir kültürle yapmak çok tatmin edici.
Herkes bana Alan Turing olayını soruyor. Yaptığıma sevindim, ama artık çok uzun zaman önceymiş gibi geliyor!
ÖNERİLEN HTTP/3, RFC 9114’e dönüşüyor – bir güvenlik avantajı, ancak zorluklar da yok