একটি ওয়েবসাইটকে প্রমাণীকরণ করার জন্য একটি ব্রাউজার, এটি একটি বৈধ শংসাপত্র চেইন সহ নিজেকে উপস্থাপন করে। একটি সাধারণ চেইন উপরে দেখানো হয়েছে, এবং একাধিক মধ্যবর্তী শংসাপত্র থাকতে পারে। একটি বৈধ চেইনে সার্টিফিকেটের ন্যূনতম সংখ্যা তিনটি।

মূল শংসাপত্র হল সার্টিফিকেট কর্তৃপক্ষের হৃদয়। এটি আক্ষরিকভাবে আপনার OS বা ব্রাউজারে তৈরি করা হয়েছে, এটি আপনার ডিভাইসে শারীরিকভাবে উপস্থিত। এটি সার্ভারের দিক থেকে পরিবর্তন করা যাবে না। ডিভাইসে OS বা ফার্মওয়্যারের একটি জোরপূর্বক আপডেট প্রয়োজন।

নিরাপত্তা বিশেষজ্ঞ স্কট হেলমে তিনি লিখেছেন, যে প্রধান সমস্যা লেটস এনক্রিপ্ট সার্টিফিকেশন কর্তৃপক্ষের সাথে দেখা দেবে, কারণ আজ এটি ইন্টারনেটে সবচেয়ে জনপ্রিয় CA, এবং এর মূল শংসাপত্র শীঘ্রই খারাপ হয়ে যাবে৷ চলুন এনক্রিপ্ট রুট পরিবর্তন করা হচ্ছে জুলাই 8, 2020 এর জন্য নির্ধারিত.

সার্টিফিকেশন অথরিটি (CA) এর শেষ এবং মধ্যবর্তী শংসাপত্রগুলি সার্ভার থেকে ক্লায়েন্টের কাছে বিতরণ করা হয় এবং মূল শংসাপত্রটি ক্লায়েন্টের কাছ থেকে ইতিমধ্যে আছে, তাই সার্টিফিকেটের এই সংগ্রহের মাধ্যমে কেউ একটি চেইন তৈরি করতে এবং একটি ওয়েবসাইট প্রমাণীকরণ করতে পারে।

সমস্যা হল প্রতিটি শংসাপত্রের একটি মেয়াদ শেষ হওয়ার তারিখ রয়েছে, যার পরে এটি প্রতিস্থাপন করা দরকার। উদাহরণস্বরূপ, 1 সেপ্টেম্বর, 2020 থেকে, তারা Safari ব্রাউজারে সার্ভার TLS শংসাপত্রের বৈধতার মেয়াদের একটি সীমাবদ্ধতা প্রবর্তন করার পরিকল্পনা করছে সর্বোচ্চ 398 দিন.

এর মানে হল যে আমাদের সবাইকে অন্তত প্রতি 12 মাসে আমাদের সার্ভার সার্টিফিকেট প্রতিস্থাপন করতে হবে। এই সীমাবদ্ধতা শুধুমাত্র সার্ভার সার্টিফিকেটের ক্ষেত্রে প্রযোজ্য; না রুট CA সার্টিফিকেটের ক্ষেত্রে প্রযোজ্য।

CA শংসাপত্রগুলি নিয়মের একটি ভিন্ন সেট দ্বারা নিয়ন্ত্রিত হয় এবং তাই বিভিন্ন বৈধতার সীমা থাকে৷ 5 বছরের মেয়াদ সহ মধ্যবর্তী সার্টিফিকেট এবং এমনকি 25 বছরের পরিষেবা জীবন সহ রুট সার্টিফিকেট পাওয়া খুবই সাধারণ!

মধ্যবর্তী শংসাপত্রগুলির সাথে সাধারণত কোন সমস্যা হয় না, কারণ সেগুলি সার্ভার দ্বারা ক্লায়েন্টকে সরবরাহ করা হয়, যা নিজেই তার নিজের শংসাপত্রটি অনেক বেশি পরিবর্তন করে, তাই এটি প্রক্রিয়ায় মধ্যবর্তীটিকে কেবল প্রতিস্থাপন করে। রুট CA শংসাপত্রের বিপরীতে সার্ভার শংসাপত্রের সাথে এটি প্রতিস্থাপন করা বেশ সহজ।

আমরা আগেই বলেছি, রুট CA সরাসরি ক্লায়েন্ট ডিভাইসে, OS, ব্রাউজার বা অন্যান্য সফ্টওয়্যারে তৈরি করা হয়। রুট CA পরিবর্তন করা ওয়েবসাইটের নিয়ন্ত্রণের বাইরে। এটি একটি OS বা সফ্টওয়্যার আপডেট হতে ক্লায়েন্টের উপর একটি আপডেট প্রয়োজন।

কিছু রুট সিএ খুব দীর্ঘ সময় ধরে আছে, আমরা 20-25 বছরের কথা বলছি। শীঘ্রই কিছু প্রাচীন রুট CA তাদের স্বাভাবিক জীবনের শেষের দিকে এগিয়ে যাবে, তাদের সময় প্রায় শেষ। আমাদের বেশিরভাগের জন্য এটি কোনও সমস্যা হবে না কারণ CAs নতুন রুট সার্টিফিকেট তৈরি করেছে এবং সেগুলি বহু বছর ধরে OS এবং ব্রাউজার আপডেটে বিশ্বজুড়ে বিতরণ করা হয়েছে। কিন্তু কেউ যদি দীর্ঘদিন ধরে তাদের OS বা ব্রাউজার আপডেট না করে থাকে তবে এটি একটি সমস্যা।

এই পরিস্থিতি 30 মে, 2020 তারিখে 10:48:38 GMT এ ঘটেছিল। এই সঠিক সময় যখন AddTrust রুট সার্টিফিকেট পচা কমোডো সার্টিফিকেশন কর্তৃপক্ষ (Sectigo) থেকে।

এটি ক্রস-সাইন করার জন্য ব্যবহার করা হয়েছিল লিগ্যাসি ডিভাইসগুলির সাথে সামঞ্জস্য নিশ্চিত করার জন্য যেগুলির স্টোরে নতুন USERTrust রুট শংসাপত্র নেই৷

দুর্ভাগ্যবশত, শুধুমাত্র লিগ্যাসি ব্রাউজারেই নয়, OpenSSL 1.0.x, LibreSSL এবং ভিত্তিক নন-ব্রাউজার ক্লায়েন্টগুলিতেও সমস্যা দেখা দিয়েছে gnuTLS. উদাহরণস্বরূপ, সেট-টপ বক্সে বছর, সেবা Heroku, Fortinet-এ, লিনাক্সের জন্য .NET Core 2.0 প্ল্যাটফর্মে Chargify অ্যাপ্লিকেশন এবং অনেকে.

এটা ধরে নেওয়া হয়েছিল যে সমস্যাটি শুধুমাত্র লিগ্যাসি সিস্টেমগুলিকে প্রভাবিত করবে (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, ইত্যাদি), যেহেতু আধুনিক ব্রাউজারগুলি দ্বিতীয় USERTRust রুট শংসাপত্র ব্যবহার করতে পারে৷ কিন্তু প্রকৃতপক্ষে, বিনামূল্যের OpenSSL 1.0.x এবং GnuTLS লাইব্রেরি ব্যবহার করে এমন শত শত ওয়েব পরিষেবাতে ব্যর্থতা শুরু হয়েছে। শংসাপত্রটি পুরানো হওয়ার ইঙ্গিত করে একটি ত্রুটি বার্তা সহ একটি নিরাপদ সংযোগ আর স্থাপন করা যাবে না৷

পরবর্তী - আসুন এনক্রিপ্ট করি

আসন্ন রুট CA পরিবর্তনের আরেকটি ভালো উদাহরণ হল লেটস এনক্রিপ্ট সার্টিফিকেট অথরিটি। আরও এপ্রিল 2019 এ তারা আইডেনট্রাস্ট চেইন থেকে তাদের নিজস্ব আইএসআরজি রুট চেইনে স্যুইচ করার পরিকল্পনা করেছিল, কিন্তু এটি ঘটেনি.

"অ্যান্ড্রয়েড ডিভাইসে আইএসআরজি রুট গ্রহণের অভাব সম্পর্কে উদ্বেগের কারণে, আমরা 8 জুলাই, 2019 থেকে 8 জুলাই, 2020 পর্যন্ত নেটিভ রুট ট্রানজিশন তারিখ সরানোর সিদ্ধান্ত নিয়েছি," লেটস এনক্রিপ্ট একটি বিবৃতিতে বলেছে৷

"রুট প্রচার" নামক একটি সমস্যার কারণে তারিখটি পিছিয়ে দিতে হয়েছিল, বা আরও সঠিকভাবে, রুট প্রচারের অভাব, যখন রুট CA সমস্ত ক্লায়েন্টদের মধ্যে খুব বেশিভাবে বিতরণ করা হয় না।

চলুন এনক্রিপ্ট বর্তমানে আইডেনট্রাস্ট ডিএসটি রুট CA X3 এর সাথে চেইন করা একটি ক্রস-স্বাক্ষরিত মধ্যবর্তী শংসাপত্র ব্যবহার করে। এই রুট সার্টিফিকেট 2000 সালের সেপ্টেম্বরে ইস্যু করা হয়েছিল এবং 30 সেপ্টেম্বর, 2021-এ মেয়াদ শেষ হয়। ততক্ষণ পর্যন্ত, আসুন এনক্রিপ্ট এর নিজস্ব স্ব-স্বাক্ষরিত ISRG রুট X1-এ স্থানান্তরিত করার পরিকল্পনা করে।

ISRG রুট 4 জুন, 2015 এ প্রকাশিত হয়েছে। এর পরে, সার্টিফিকেশন কর্তৃপক্ষ হিসাবে এটির অনুমোদনের প্রক্রিয়া শুরু হয়েছিল, যা শেষ হয়েছিল 6 আগস্ট 2018 বছর. এই বিন্দু থেকে, রুট CA একটি অপারেটিং সিস্টেম বা সফ্টওয়্যার আপডেটের মাধ্যমে সমস্ত ক্লায়েন্টের জন্য উপলব্ধ ছিল। আপনাকে যা করতে হবে তা হল আপডেটটি ইনস্টল করা।

কিন্তু এটাই সমস্যা।

আপনার মোবাইল ফোন, টিভি বা অন্য ডিভাইস যদি দুই বছর ধরে আপডেট না করা হয়, তাহলে নতুন ISRG Root X1 রুট সার্টিফিকেট সম্পর্কে কীভাবে জানবে? এবং যদি আপনি এটি সিস্টেমে ইনস্টল না করেন, তাহলে লেটস এনক্রিপ্ট একটি নতুন রুটে স্যুইচ করার সাথে সাথে আপনার ডিভাইসটি সমস্ত Let's Encrypt সার্ভার সার্টিফিকেট বাতিল করে দেবে। এবং অ্যান্ড্রয়েড ইকোসিস্টেমে অনেক পুরানো ডিভাইস রয়েছে যেগুলি দীর্ঘদিন ধরে আপডেট করা হয়নি।

অ্যান্ড্রয়েড ইকোসিস্টেম

এই কারণেই আসুন এনক্রিপ্ট তার নিজস্ব ISRG রুটে যেতে দেরি করে এবং এখনও একটি মধ্যবর্তী ব্যবহার করে যা IdenTrust রুটে চলে যায়। তবে যে কোনো অবস্থাতেই উত্তরণ ঘটাতে হবে। এবং রুট পরিবর্তনের তারিখ নির্ধারণ করা হয় 8 জুলাই 2020 বছর.

আপনার ডিভাইসে (টিভি, সেট-টপ বক্স বা অন্যান্য ক্লায়েন্ট) ISRG X1 রুট ইনস্টল করা আছে কিনা তা পরীক্ষা করতে, পরীক্ষার সাইটটি খুলুন https://valid-isrgrootx1.letsencrypt.org/. যদি কোন নিরাপত্তা সতর্কতা উপস্থিত না হয়, তাহলে সাধারণত সবকিছু ঠিক থাকে।

আসুন এনক্রিপ্ট শুধুমাত্র একটি নতুন রুটে স্থানান্তরিত করার চ্যালেঞ্জের মুখোমুখি নন। ইন্টারনেটে ক্রিপ্টোগ্রাফি 20 বছর আগে ব্যবহার করা শুরু হয়েছিল, তাই এখন সময় এসেছে যখন অনেক রুট সার্টিফিকেটের মেয়াদ শেষ হতে চলেছে।

স্মার্ট টিভির মালিক যারা অনেক বছর ধরে স্মার্ট টিভি সফ্টওয়্যার আপডেট করেননি তারা এই সমস্যার সম্মুখীন হতে পারেন। উদাহরণস্বরূপ, নতুন GlobalSign রুট R5 রুট 2012 সালে প্রকাশিত হয়েছিল, এবং কিছু পুরানো স্মার্ট টিভির পরে এটিতে একটি চেইন তৈরি করতে পারে না, কারণ তাদের কেবল এই রুট CA নেই। বিশেষ করে, এই ক্লায়েন্টরা bbc.co.uk ওয়েবসাইটে একটি নিরাপদ সংযোগ স্থাপন করতে পারেনি। সমস্যা সমাধানের জন্য, বিবিসি প্রশাসকদের একটি কৌশল অবলম্বন করতে হয়েছিল: তারা আমরা এই ক্লায়েন্টদের জন্য একটি বিকল্প চেইন তৈরি করেছি অতিরিক্ত মধ্যবর্তী শংসাপত্রের মাধ্যমে, পুরানো শিকড় ব্যবহার করে R3 রুট и R1 রুট, যা এখনও পচে যায়নি.

www.bbc.co.uk (Leaf) GlobalSign ECC OV SSL CA 2018 (ইন্টারমিডিয়েট) GlobalSign Root CA - R5 (ইন্টারমিডিয়েট) GlobalSign Root CA - R3 (ইন্টারমিডিয়েট)

এটি একটি অস্থায়ী সমাধান। ক্লায়েন্ট সফ্টওয়্যার আপডেট না করা পর্যন্ত সমস্যাটি দূর হবে না। একটি স্মার্ট টিভি মূলত লিনাক্স চালিত একটি সীমিত-কার্যকারিতা কম্পিউটার। এবং আপডেট ছাড়া, এর রুট সার্টিফিকেট অনিবার্যভাবে পচা হয়ে যাবে।

এটি কেবল টিভি নয়, সমস্ত ডিভাইসের ক্ষেত্রে প্রযোজ্য৷ আপনার যদি এমন কোনও ডিভাইস থাকে যা ইন্টারনেটের সাথে সংযুক্ত থাকে এবং এটিকে "স্মার্ট" ডিভাইস হিসাবে বিজ্ঞাপন দেওয়া হয়েছিল, তবে পচা শংসাপত্রগুলির সমস্যাটি প্রায় অবশ্যই এটিকে উদ্বেগ করে। ডিভাইস আপডেট না হলে, রুট CA স্টোর সময়ের সাথে পুরানো হয়ে যাবে এবং অবশেষে সমস্যাটি দেখা দেবে। কত তাড়াতাড়ি সমস্যাটি ঘটবে তা নির্ভর করে কখন রুট স্টোরটি সর্বশেষ আপডেট হয়েছিল তার উপর। এটি ডিভাইসের প্রকৃত প্রকাশের তারিখের কয়েক বছর আগে হতে পারে।

যাইহোক, এই সমস্যাটি কেন কিছু বড় মিডিয়া প্ল্যাটফর্ম আধুনিক স্বয়ংক্রিয় শংসাপত্র কর্তৃপক্ষ যেমন Let's Encrypt ব্যবহার করতে পারে না, স্কট হেলমে লিখেছেন। এগুলি স্মার্ট টিভিগুলির জন্য উপযুক্ত নয় এবং লিগ্যাসি ডিভাইসগুলিতে শংসাপত্র সমর্থনের গ্যারান্টি দেওয়ার জন্য শিকড়ের সংখ্যা খুব কম৷ অন্যথায়, টিভি কেবল আধুনিক স্ট্রিমিং পরিষেবা চালু করতে সক্ষম হবে না।

AddTrust এর সাথে সাম্প্রতিক ঘটনাটি দেখিয়েছে যে এমনকি বড় আইটি কোম্পানিগুলিও মূল শংসাপত্রের মেয়াদ শেষ হওয়ার জন্য প্রস্তুত নয়।

সমস্যার একমাত্র সমাধান আছে - আপডেট। স্মার্ট ডিভাইসের ডেভেলপারদের অবশ্যই সফ্টওয়্যার এবং রুট সার্টিফিকেট আপডেট করার জন্য একটি ব্যবস্থা প্রদান করতে হবে। অন্যদিকে, ওয়ারেন্টি মেয়াদ শেষ হওয়ার পরে নির্মাতাদের তাদের ডিভাইসের অপারেশন নিশ্চিত করা লাভজনক নয়।

উত্স: www.habr.com