NPM সংগ্রহস্থল TLS 1.0 এবং 1.1-এর জন্য সমর্থন বাতিল করছে

GitHub NPM প্যাকেজ রিপোজিটরিতে TLS 1.0 এবং 1.1 এর জন্য সমর্থন বন্ধ করার সিদ্ধান্ত নিয়েছে এবং npmjs.com সহ NPM প্যাকেজ ম্যানেজারের সাথে যুক্ত সমস্ত সাইট। 4 অক্টোবর থেকে, প্যাকেজগুলি ইনস্টল করা সহ সংগ্রহস্থলের সাথে সংযোগ করার জন্য একটি ক্লায়েন্ট প্রয়োজন যা কমপক্ষে TLS 1.2 সমর্থন করে৷ GitHub-এ, TLS 1.0/1.1-এর সমর্থন ফেব্রুয়ারী 2018-এ বন্ধ করা হয়েছিল। উদ্দেশ্যটি এর পরিষেবাগুলির সুরক্ষা এবং ব্যবহারকারীর ডেটার গোপনীয়তার জন্য উদ্বেগ বলে বলা হয়। GitHub এর মতে, NPM সংগ্রহস্থলে প্রায় 99% অনুরোধ ইতিমধ্যেই TLS 1.2 বা 1.3 ব্যবহার করে করা হয়েছে, এবং Node.js 1.2 সাল থেকে TLS 2013 এর জন্য সমর্থন অন্তর্ভুক্ত করেছে (0.10 প্রকাশের পর থেকে), তাই পরিবর্তন শুধুমাত্র একটি ছোট অংশকে প্রভাবিত করবে ব্যবহারকারীদের

আসুন আমরা স্মরণ করি যে TLS 1.0 এবং 1.1 প্রোটোকলগুলি আনুষ্ঠানিকভাবে IETF (ইন্টারনেট ইঞ্জিনিয়ারিং টাস্ক ফোর্স) দ্বারা অপ্রচলিত প্রযুক্তি হিসাবে শ্রেণীবদ্ধ করা হয়েছে। TLS 1.0 স্পেসিফিকেশন জানুয়ারি 1999 সালে প্রকাশিত হয়েছিল। সাত বছর পরে, টিএলএস 1.1 আপডেটটি প্রাথমিক ভেক্টর এবং প্যাডিং তৈরির সাথে সম্পর্কিত সুরক্ষা উন্নতির সাথে প্রকাশ করা হয়েছিল। TLS 1.0/1.1 এর প্রধান সমস্যাগুলির মধ্যে হল আধুনিক সাইফারগুলির জন্য সমর্থনের অভাব (উদাহরণস্বরূপ, ECDHE এবং AEAD) এবং পুরানো সাইফারগুলিকে সমর্থন করার জন্য প্রয়োজনীয়তার স্পেসিফিকেশনের উপস্থিতি, যার নির্ভরযোগ্যতা বর্তমান পর্যায়ে প্রশ্নবিদ্ধ। কম্পিউটিং প্রযুক্তির বিকাশ (উদাহরণস্বরূপ, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA-এর জন্য সমর্থন অখণ্ডতা পরীক্ষা করার জন্য প্রয়োজন এবং প্রমাণীকরণ MD5 এবং SHA-1 ব্যবহার করে)। পুরানো অ্যালগরিদমগুলির জন্য সমর্থন ইতিমধ্যে ROBOT, DROWN, BEAST, Logjam এবং FREAK এর মতো আক্রমণের দিকে পরিচালিত করেছে৷ যাইহোক, এই সমস্যাগুলি সরাসরি প্রোটোকল দুর্বলতা হিসাবে বিবেচিত হয়নি এবং এর বাস্তবায়নের স্তরে সমাধান করা হয়েছিল। TLS 1.0/1.1 প্রোটোকলের নিজেরাই গুরুতর দুর্বলতার অভাব রয়েছে যা ব্যবহারিক আক্রমণ চালানোর জন্য কাজে লাগানো যেতে পারে।

উত্স: opennet.ru