વેબસાઇટને પ્રમાણિત કરવા માટે બ્રાઉઝર માટે, તે પોતાને માન્ય પ્રમાણપત્ર સાંકળ સાથે રજૂ કરે છે. એક લાક્ષણિક સાંકળ ઉપર બતાવેલ છે, અને ત્યાં એક કરતા વધુ મધ્યવર્તી પ્રમાણપત્ર હોઈ શકે છે. માન્ય સાંકળમાં પ્રમાણપત્રોની ન્યૂનતમ સંખ્યા ત્રણ છે.

રુટ પ્રમાણપત્ર એ પ્રમાણપત્ર સત્તાધિકારીનું હૃદય છે. તે શાબ્દિક રીતે તમારા OS અથવા બ્રાઉઝરમાં બનેલ છે, તે તમારા ઉપકરણ પર ભૌતિક રીતે હાજર છે. તેને સર્વર બાજુથી બદલી શકાતું નથી. ઉપકરણ પર OS અથવા ફર્મવેરનું ફરજિયાત અપડેટ આવશ્યક છે.

સુરક્ષા નિષ્ણાત સ્કોટ હેલ્મ તેઓ લખે છે, કે લેટ્સ એન્ક્રિપ્ટ સર્ટિફિકેશન ઓથોરિટી સાથે મુખ્ય સમસ્યાઓ ઊભી થશે, કારણ કે આજે તે ઇન્ટરનેટ પર સૌથી લોકપ્રિય CA છે, અને તેનું રૂટ પ્રમાણપત્ર ટૂંક સમયમાં ખરાબ થઈ જશે. લેટ્સ એન્ક્રિપ્ટ રૂટને બદલવું જુલાઈ 8, 2020 ના રોજ સુનિશ્ચિત.

સર્ટિફિકેશન ઓથોરિટી (CA) ના અંતિમ અને મધ્યવર્તી પ્રમાણપત્રો સર્વરથી ક્લાયંટને વિતરિત કરવામાં આવે છે, અને રુટ પ્રમાણપત્ર ક્લાયંટનું છે પહેલેથી જ છે, તેથી પ્રમાણપત્રોના આ સંગ્રહ સાથે કોઈ એક સાંકળ બનાવી શકે છે અને વેબસાઇટને પ્રમાણિત કરી શકે છે.

સમસ્યા એ છે કે દરેક પ્રમાણપત્રની સમાપ્તિ તારીખ હોય છે, જે પછી તેને બદલવાની જરૂર છે. ઉદાહરણ તરીકે, 1 સપ્ટેમ્બર, 2020 થી, તેઓ સફારી બ્રાઉઝરમાં સર્વર TLS પ્રમાણપત્રોની માન્યતા અવધિ પર મર્યાદા દાખલ કરવાની યોજના ધરાવે છે. મહત્તમ 398 દિવસ.

આનો અર્થ એ છે કે આપણે બધાએ ઓછામાં ઓછા દર 12 મહિનામાં અમારા સર્વર પ્રમાણપત્રો બદલવા પડશે. આ પ્રતિબંધ ફક્ત સર્વર પ્રમાણપત્રોને લાગુ પડે છે; તે નથી રૂટ CA પ્રમાણપત્રો પર લાગુ થાય છે.

CA પ્રમાણપત્રો નિયમોના અલગ સેટ દ્વારા સંચાલિત થાય છે અને તેથી તેમની માન્યતા મર્યાદા અલગ હોય છે. 5 વર્ષની વેલિડિટી પીરિયડ સાથેના ઇન્ટરમીડિયેટ સર્ટિફિકેટ્સ અને 25 વર્ષની સર્વિસ લાઇફ સાથે રૂટ સર્ટિફિકેટ્સ શોધવાનું ખૂબ જ સામાન્ય છે!

મધ્યવર્તી પ્રમાણપત્રોમાં સામાન્ય રીતે કોઈ સમસ્યા હોતી નથી, કારણ કે તે સર્વર દ્વારા ક્લાયંટને પૂરા પાડવામાં આવે છે, જે પોતે તેના પોતાના પ્રમાણપત્રને ઘણી વાર બદલે છે, તેથી તે પ્રક્રિયામાં મધ્યવર્તી પ્રમાણપત્રને બદલે છે. તેને સર્વર પ્રમાણપત્ર સાથે બદલવું એકદમ સરળ છે, રૂટ CA પ્રમાણપત્રથી વિપરીત.

જેમ આપણે પહેલેથી જ કહ્યું છે તેમ, રૂટ CA સીધા જ ક્લાયંટ ઉપકરણમાં, OS, બ્રાઉઝર અથવા અન્ય સૉફ્ટવેરમાં બનાવવામાં આવે છે. રૂટ CA બદલવું એ વેબસાઈટના નિયંત્રણની બહાર છે. આ માટે ક્લાયંટ પર અપડેટની જરૂર છે, પછી તે OS હોય કે સોફ્ટવેર અપડેટ.

કેટલાક રુટ CA ખૂબ લાંબા સમયથી આસપાસ છે, અમે 20-25 વર્ષ વિશે વાત કરી રહ્યા છીએ. ટૂંક સમયમાં કેટલાક સૌથી જૂના રુટ CA તેમના કુદરતી જીવનના અંત સુધી પહોંચશે, તેમનો સમય લગભગ પૂરો થઈ ગયો છે. આપણામાંના મોટાભાગના લોકો માટે આ કોઈ સમસ્યા નથી કારણ કે CA એ નવા રૂટ પ્રમાણપત્રો બનાવ્યા છે અને તે ઘણા વર્ષોથી OS અને બ્રાઉઝર અપડેટ્સમાં વિશ્વભરમાં વિતરિત કરવામાં આવ્યા છે. પરંતુ જો કોઈ વ્યક્તિએ તેમના OS અથવા બ્રાઉઝરને ખૂબ લાંબા સમયથી અપડેટ કર્યું નથી, તો તે એક પ્રકારની સમસ્યા છે.

આ સ્થિતિ 30 મે, 2020 ના રોજ 10:48:38 GMT વાગ્યે બની હતી. આ ચોક્કસ સમય છે જ્યારે AddTrust રુટ પ્રમાણપત્ર સડેલું છે કોમોડો સર્ટિફિકેશન ઓથોરિટી (Sectigo) તરફથી.

તેનો ઉપયોગ લેગસી ઉપકરણો સાથે સુસંગતતા સુનિશ્ચિત કરવા માટે ક્રોસ-સાઇનિંગ માટે કરવામાં આવ્યો હતો કે જેની પાસે તેમના સ્ટોરમાં નવું USERTrust રૂટ પ્રમાણપત્ર નથી.

કમનસીબે, સમસ્યાઓ માત્ર લેગસી બ્રાઉઝર્સમાં જ નહીં, પરંતુ OpenSSL 1.0.x, LibreSSL અને પર આધારિત બિન-બ્રાઉઝર ક્લાયંટમાં પણ ઊભી થઈ. gnuTLS. ઉદાહરણ તરીકે, સેટ-ટોપ બોક્સમાં વર્ષ, સેવા હેરોકુ, ફોર્ટીનેટમાં, લિનક્સ માટે .NET કોર 2.0 પ્લેટફોર્મ પર, એપ્લિકેશનને ચાર્જ કરો અને બીજા ઘણા.

એવું માનવામાં આવતું હતું કે સમસ્યા ફક્ત લેગસી સિસ્ટમ્સ (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, વગેરે) ને અસર કરશે, કારણ કે આધુનિક બ્રાઉઝર્સ બીજા USERTRust રૂટ પ્રમાણપત્રનો ઉપયોગ કરી શકે છે. પરંતુ હકીકતમાં, મફત OpenSSL 1.0.x અને GnuTLS પુસ્તકાલયોનો ઉપયોગ કરતી સેંકડો વેબ સેવાઓમાં નિષ્ફળતાઓ શરૂ થઈ. પ્રમાણપત્ર જૂનું હતું તે દર્શાવતા ભૂલ સંદેશ સાથે સુરક્ષિત કનેક્શન હવે સ્થાપિત કરી શકાતું નથી.

આગળ - ચાલો એન્ક્રિપ્ટ કરીએ

આગામી રૂટ CA ફેરફારનું બીજું સારું ઉદાહરણ લેટ્સ એન્ક્રિપ્ટ પ્રમાણપત્ર સત્તા છે. વધુ એપ્રિલ 2019 માં તેઓએ Identrust સાંકળમાંથી તેમની પોતાની ISRG રૂટ ચેઇન પર સ્વિચ કરવાની યોજના બનાવી હતી, પરંતુ આ ન થયું.

લેટ્સ એન્ક્રિપ્ટે એક નિવેદનમાં જણાવ્યું હતું કે, "Android ઉપકરણો પર ISRG રુટને અપનાવવાના અભાવ અંગેની ચિંતાઓને કારણે, અમે મૂળ મૂળ સંક્રમણ તારીખ 8 જુલાઈ, 2019 થી 8 જુલાઈ, 2020 સુધી ખસેડવાનું નક્કી કર્યું છે."

“રુટ પ્રચાર” નામની સમસ્યાને કારણે તારીખ મુલતવી રાખવી પડી હતી, અથવા વધુ સ્પષ્ટ રીતે કહીએ તો, રુટ પ્રચારની અછત, જ્યારે રુટ CA બધા ક્લાયન્ટમાં ખૂબ વ્યાપક રીતે વિતરિત ન હોય.

ચાલો એન્ક્રિપ્ટ હાલમાં IdenTrust DST રુટ CA X3 સાથે સાંકળાયેલ ક્રોસ-સાઈ કરેલ મધ્યવર્તી પ્રમાણપત્રનો ઉપયોગ કરે છે. આ રૂટ પ્રમાણપત્ર સપ્ટેમ્બર 2000માં પાછું જારી કરવામાં આવ્યું હતું અને 30 સપ્ટેમ્બર, 2021ના રોજ સમાપ્ત થાય છે. ત્યાં સુધી, ચાલો એન્ક્રિપ્ટ તેના પોતાના સ્વ-હસ્તાક્ષરિત ISRG રૂટ X1 પર સ્થાનાંતરિત કરવાની યોજના ધરાવે છે.

ISRG રુટ 4 જૂન, 2015 ના રોજ રિલીઝ થયું. આ પછી, પ્રમાણપત્ર અધિકારી તરીકે તેની મંજૂરીની પ્રક્રિયા શરૂ થઈ, જે સમાપ્ત થઈ 6 ઓગસ્ટ 2018 વર્ષ. આ બિંદુથી, રૂટ CA ઓપરેટિંગ સિસ્ટમ અથવા સોફ્ટવેર અપડેટ દ્વારા તમામ ક્લાયન્ટ્સ માટે ઉપલબ્ધ હતું. તમારે ફક્ત અપડેટ ઇન્સ્ટોલ કરવાનું હતું.

પરંતુ તે સમસ્યા છે.

જો તમારો મોબાઇલ ફોન, ટીવી અથવા અન્ય ઉપકરણ બે વર્ષથી અપડેટ કરવામાં આવ્યું નથી, તો તે નવા ISRG રૂટ X1 રુટ પ્રમાણપત્ર વિશે કેવી રીતે જાણશે? અને જો તમે તેને સિસ્ટમ પર ઇન્સ્ટોલ કરશો નહીં, તો લેટ્સ એન્ક્રિપ્ટ નવા રુટ પર સ્વિચ થતાં જ તમારું ઉપકરણ બધા લેટ્સ એન્ક્રિપ્ટ સર્વર પ્રમાણપત્રોને અમાન્ય કરી દેશે. અને એન્ડ્રોઇડ ઇકોસિસ્ટમમાં ઘણા જૂના ઉપકરણો છે જે લાંબા સમયથી અપડેટ થયા નથી.

એન્ડ્રોઇડ ઇકોસિસ્ટમ

આ કારણે ચાલો એન્ક્રિપ્ટ તેના પોતાના ISRG રુટ પર જવામાં વિલંબ કરે છે અને હજુ પણ એક મધ્યવર્તીનો ઉપયોગ કરે છે જે IdenTrust રુટ સુધી જાય છે. પરંતુ સંક્રમણ કોઈપણ સંજોગોમાં કરવું પડશે. અને રૂટ ફેરફારની તારીખ સોંપેલ છે 8 જૂલાઇ 2020 વર્ષ.

તમારા ઉપકરણ (ટીવી, સેટ-ટોપ બોક્સ અથવા અન્ય ક્લાયંટ) પર ISRG X1 રુટ ઇન્સ્ટોલ કરેલું છે તે તપાસવા માટે, પરીક્ષણ સાઇટ ખોલો https://valid-isrgrootx1.letsencrypt.org/. જો કોઈ સુરક્ષા ચેતવણી દેખાતી નથી, તો બધું સામાન્ય રીતે સારું છે.

ચાલો એન્ક્રિપ્ટ માત્ર એક જ વ્યક્તિ નથી જે નવા રુટ પર સ્થાનાંતરિત કરવાના પડકારનો સામનો કરે છે. ઈન્ટરનેટ પર ક્રિપ્ટોગ્રાફીનો ઉપયોગ માત્ર 20 વર્ષ પહેલાં જ શરૂ થયો હતો, તેથી હવે તે સમય છે જ્યારે ઘણા રૂટ પ્રમાણપત્રો સમાપ્ત થવાના છે.

સ્માર્ટ ટીવીના માલિકો જેમણે ઘણા વર્ષોથી સ્માર્ટ ટીવી સોફ્ટવેર અપડેટ કર્યું નથી તેઓ આ સમસ્યાનો સામનો કરી શકે છે. ઉદાહરણ તરીકે, નવું GlobalSign રુટ R5 રુટ 2012 માં રજૂ કરવામાં આવ્યું હતું, અને કેટલાક જૂના સ્માર્ટ ટીવી પછી તેની સાંકળ બાંધી શકતા નથી, કારણ કે તેમની પાસે આ રૂટ CA નથી. ખાસ કરીને, આ ગ્રાહકો bbc.co.uk વેબસાઈટ પર સુરક્ષિત કનેક્શન સ્થાપિત કરવામાં અસમર્થ હતા. સમસ્યાને ઉકેલવા માટે, બીબીસી સંચાલકોએ એક યુક્તિનો આશરો લેવો પડ્યો: તેઓ અમે આ ગ્રાહકો માટે વૈકલ્પિક સાંકળ બનાવી છે જૂના મૂળનો ઉપયોગ કરીને વધારાના મધ્યવર્તી પ્રમાણપત્રો દ્વારા R3 રુટ и R1 રુટ, જે હજુ સુધી સડેલા નથી.

www.bbc.co.uk (લીફ) ગ્લોબલસાઇન ECC OV SSL CA 2018 (મધ્યવર્તી) ગ્લોબલસાઇન રૂટ CA - R5 (મધ્યવર્તી) ગ્લોબલસાઇન રુટ CA - R3 (મધ્યવર્તી)

આ એક કામચલાઉ ઉકેલ છે. જ્યાં સુધી તમે ક્લાયન્ટ સોફ્ટવેર અપડેટ નહીં કરો ત્યાં સુધી સમસ્યા દૂર થશે નહીં. સ્માર્ટ ટીવી એ અનિવાર્યપણે લિનક્સ ચલાવતું મર્યાદિત-કાર્યક્ષમતા કમ્પ્યુટર છે. અને અપડેટ વિના, તેના રૂટ પ્રમાણપત્રો અનિવાર્યપણે સડેલા બનશે.

આ તમામ ઉપકરણોને લાગુ પડે છે, માત્ર ટીવી જ નહીં. જો તમારી પાસે કોઈપણ ઉપકરણ છે જે ઈન્ટરનેટ સાથે જોડાયેલ છે અને તે "સ્માર્ટ" ઉપકરણ તરીકે જાહેરાત કરવામાં આવ્યું હતું, તો પછી સડેલા પ્રમાણપત્રોની સમસ્યા લગભગ ચોક્કસપણે તેની ચિંતા કરે છે. જો ઉપકરણ અપડેટ કરવામાં ન આવે, તો રૂટ CA સ્ટોર સમય જતાં જૂનો થઈ જશે અને છેવટે સમસ્યા સપાટી પર આવશે. રુટ સ્ટોર છેલ્લે ક્યારે અપડેટ કરવામાં આવ્યો હતો તેના પર કેટલી જલ્દી સમસ્યા આવે છે તેના પર આધાર રાખે છે. આ ઉપકરણની વાસ્તવિક પ્રકાશન તારીખના ઘણા વર્ષો પહેલા હોઈ શકે છે.

બાય ધ વે, આ સમસ્યા એ છે કે શા માટે કેટલાક મોટા મીડિયા પ્લેટફોર્મ લેટ્સ એન્ક્રિપ્ટ જેવા આધુનિક ઓટોમેટેડ સર્ટિફિકેટ ઓથોરિટીનો ઉપયોગ કરી શકતા નથી, સ્કોટ હેલ્મે લખે છે. તેઓ સ્માર્ટ ટીવી માટે યોગ્ય નથી, અને લેગસી ઉપકરણો પર પ્રમાણપત્ર સમર્થનની ખાતરી આપવા માટે મૂળની સંખ્યા ખૂબ ઓછી છે. નહિંતર, ટીવી ફક્ત આધુનિક સ્ટ્રીમિંગ સેવાઓ શરૂ કરી શકશે નહીં.

AddTrust સાથેની તાજેતરની ઘટના દર્શાવે છે કે મોટી IT કંપનીઓ પણ એ હકીકત માટે તૈયાર નથી કે રૂટ સર્ટિફિકેટની સમયસીમા સમાપ્ત થાય છે.

સમસ્યાનો એક જ ઉકેલ છે - અપડેટ. સ્માર્ટ ઉપકરણોના વિકાસકર્તાઓએ સોફ્ટવેર અને રૂટ પ્રમાણપત્રોને અગાઉથી અપડેટ કરવા માટે એક મિકેનિઝમ પ્રદાન કરવું આવશ્યક છે. બીજી બાજુ, ઉત્પાદકો માટે વોરંટી અવધિ સમાપ્ત થયા પછી તેમના ઉપકરણોના સંચાલનની ખાતરી કરવી તે નફાકારક નથી.

સોર્સ: www.habr.com