મોઝિલા, ક્લાઉડફ્લેર અને ફેસબુકે ટૂંકા ગાળાના પ્રમાણપત્રોના પ્રતિનિધિત્વ માટે TLS એક્સ્ટેંશન રજૂ કર્યું

મોઝિલા, CloudFlare и ફેસબુક સંયુક્ત રીતે નવા TLS એક્સ્ટેંશનની જાહેરાત કરી સોંપાયેલ ઓળખપત્ર (DC), સામગ્રી વિતરણ નેટવર્ક્સ દ્વારા સાઇટની ઍક્સેસનું આયોજન કરતી વખતે પ્રમાણપત્રો સાથે સમસ્યાનું નિરાકરણ. સર્ટિફિકેશન સત્તાવાળાઓ દ્વારા જારી કરાયેલા પ્રમાણપત્રોની માન્યતા લાંબી હોય છે, જે તૃતીય-પક્ષ સેવા દ્વારા સાઇટની ઍક્સેસ ગોઠવવા માટે જરૂરી હોય ત્યારે મુશ્કેલીઓ ઊભી કરે છે, જેના વતી સુરક્ષિત કનેક્શન સ્થાપિત કરવું આવશ્યક છે, કારણ કે સાઇટના પ્રમાણપત્રને બાહ્યમાં સ્થાનાંતરિત કરવામાં આવે છે. સેવા વધારાના સુરક્ષા જોખમો બનાવે છે.

નવું એક્સ્ટેંશન એવી સાઇટ્સ માટે પણ ઉપયોગી થઈ શકે છે જે મોટી સંખ્યામાં લોડ બેલેન્સર સાથે વિશાળ વિતરિત ઈન્ફ્રાસ્ટ્રક્ચર પર કામ કરે છે. સોંપેલ ઓળખપત્ર દરેક સામગ્રી વિતરણ નોડ પર મુખ્ય પ્રમાણપત્રોની ખાનગી કીઓની નકલો સંગ્રહિત કરવાનું ટાળશે. ક્લાસિક અભિગમ સાથે, HTTPS ટ્રાફિક મોકલવામાં સામેલ કોઈપણ સર્વર પર સફળ હુમલો સમગ્ર પ્રમાણપત્રના સમાધાન તરફ દોરી જશે. જો ખાનગી કીને સામગ્રી વિતરણ નેટવર્ક્સમાં સ્થાનાંતરિત કરવામાં આવે છે, તો કર્મચારીઓ દ્વારા તોડફોડ, ગુપ્તચર એજન્સીઓની ક્રિયાઓ અથવા CDN ઇન્ફ્રાસ્ટ્રક્ચર સાથે સમાધાનના પરિણામે ડેટા લીક થવાની ધમકીઓ છે.

જો કી લીકની શોધ ન થાય તો, જેમણે કીની ઍક્સેસ મેળવી છે તેઓ લાંબા સમય સુધી સાઇટ ટ્રાફિક (MITM)માં પોતાને અસ્પષ્ટ રીતે જોડવામાં સક્ષમ હશે, કારણ કે પ્રમાણપત્રોની માન્યતા અવધિ મહિનાઓ અને વર્ષોમાં ગણવામાં આવે છે. Cloudflare દ્વારા પ્રમાણપત્ર કીને સુરક્ષિત કરી શકે છે અરજી કરો સાઇટના માલિકની બાજુમાં કાર્યરત વિશિષ્ટ કી સર્વર્સ, પરંતુ આ મોડમાં કામ કરવાથી ટ્રાફિક ડિલિવરીમાં નોંધપાત્ર વિલંબ થાય છે, વધારાની લિંકના દેખાવને કારણે વિશ્વસનીયતા ઘટાડે છે અને જટિલ ઇન્ફ્રાસ્ટ્રક્ચરની જમાવટની જરૂર પડે છે.

સૂચિત TLS એક્સ્ટેંશન ડેલિગેટેડ ઓળખપત્રો વધારાની મધ્યવર્તી ખાનગી કી રજૂ કરે છે, જેની માન્યતા કલાકો અથવા ઘણા દિવસો સુધી મર્યાદિત છે (7 દિવસથી વધુ નહીં). આ કી સર્ટિફિકેશન ઓથોરિટી દ્વારા જારી કરાયેલ પ્રમાણપત્રના આધારે જનરેટ કરવામાં આવે છે અને તમને મૂળ પ્રમાણપત્રની ખાનગી કીને સામગ્રી વિતરણ સેવાઓથી ગુપ્ત રાખવાની મંજૂરી આપે છે, તેમને ટૂંકા જીવનકાળ સાથે માત્ર એક અસ્થાયી પ્રમાણપત્ર પ્રદાન કરે છે.

મધ્યવર્તી કીની સમયસીમા સમાપ્ત થયા પછી ઍક્સેસ સમસ્યાઓ ટાળવા માટે, એક સ્વચાલિત અપડેટ તકનીક પ્રદાન કરવામાં આવે છે જે મૂળ TLS સર્વરની બાજુ પર કરવામાં આવે છે. જનરેશનને મેન્યુઅલ ઑપરેશન્સ અથવા રનિંગ સ્ક્રિપ્ટ્સની જરૂર હોતી નથી - એક અધિકૃત સર્વર કે જેને ખાનગી કીની જરૂર હોય છે, અગાઉની કીના જીવનકાળ સમાપ્ત થાય તે પહેલાં, સાઇટના મૂળ TLS સર્વરનો સંપર્ક કરે છે અને તે આગામી ટૂંકા ગાળા માટે મધ્યવર્તી કી જનરેટ કરે છે.

બ્રાઉઝર્સ કે જે ડેલિગેટેડ ઓળખપત્ર TLS એક્સ્ટેંશનને સમર્થન આપે છે તેઓ આવા વ્યુત્પન્ન પ્રમાણપત્રોને વિશ્વાસપાત્ર ગણશે. ઉદાહરણ તરીકે, ફાયરફોક્સના રાત્રિના બિલ્ડ્સ અને બીટા વર્ઝનમાં ઉલ્લેખિત એક્સ્ટેંશન માટે સપોર્ટ પહેલેથી જ ઉમેરવામાં આવ્યો છે અને "security.tls.enable_delegated_credentials" સેટિંગને બદલીને about:config માં સક્રિય કરી શકાય છે. નવેમ્બરના મધ્યમાં, ફાયરફોક્સના ટેસ્ટ વર્ઝનના અમુક ટકા વપરાશકર્તાઓ વચ્ચે એક પ્રયોગ હાથ ધરવાની પણ યોજના છે.TLS સોંપાયેલ ઓળખપત્ર પ્રયોગ", જેમાં નવા TLS એક્સ્ટેંશનના અમલીકરણની ગુણવત્તા ચકાસવા માટે Cloudflare DC સર્વરને એક પરીક્ષણ વિનંતી મોકલવામાં આવશે. લાઇબ્રેરીમાં ડેલિગેટેડ ઓળખપત્રો માટે સપોર્ટ પણ પહેલેથી જ બિલ્ટ છે ફિઝ TLS 1.3 અમલીકરણ સાથે.

IETF (ઇન્ટરનેટ એન્જિનિયરિંગ ટાસ્ક ફોર્સ) સમિતિને સોંપવામાં આવેલ ઓળખપત્ર સ્પષ્ટીકરણ સબમિટ કરવામાં આવ્યું છે, જે ઇન્ટરનેટ પ્રોટોકોલ અને આર્કિટેક્ચરના વિકાસ માટે જવાબદાર છે અને ડ્રાફ્ટ, જે ઇન્ટરનેટ માનક હોવાનો દાવો કરે છે. ડેલિગેટેડ ઓળખપત્ર એક્સ્ટેંશનનો ઉપયોગ ફક્ત TLSv1.3 સાથે જ થઈ શકે છે.
મધ્યવર્તી કી જનરેટ કરવા માટે, તમારે એક TLS પ્રમાણપત્ર મેળવવાની જરૂર છે જેમાં વિશિષ્ટ X.509 એક્સ્ટેંશન શામેલ છે, જે હાલમાં ફક્ત DigiCert પ્રમાણપત્ર અધિકારી દ્વારા સમર્થિત છે.

સોર્સ: opennet.ru