IdenTrust રૂટ પ્રમાણપત્રની સમાપ્તિ જૂના ઉપકરણો પર લેટ્સ એન્ક્રિપ્ટમાં વિશ્વાસ ગુમાવશે.

30 સપ્ટેમ્બરના રોજ મોસ્કોના સમય મુજબ 17:01 વાગ્યે, IdenTrust રૂટ સર્ટિફિકેટ (DST રૂટ CA X3), જેનો ઉપયોગ લેટ્સ એન્ક્રિપ્ટ સર્ટિફિકેશન ઓથોરિટી (ISRG રૂટ X1) ના રૂટ સર્ટિફિકેટ પર હસ્તાક્ષર કરવા માટે થતો હતો, જે સમુદાય દ્વારા નિયંત્રિત છે અને દરેકને વિના મૂલ્યે પ્રમાણપત્રો પ્રદાન કરે છે, સમાપ્ત થાય છે. ક્રોસ-સાઇનિંગ એ સુનિશ્ચિત કરે છે કે લેટ્સ એન્ક્રિપ્ટ પ્રમાણપત્રો વિશાળ શ્રેણીના ઉપકરણો, ઓપરેટિંગ સિસ્ટમ્સ અને બ્રાઉઝર્સમાં વિશ્વસનીય છે જ્યારે લેટ્સ એન્ક્રિપ્ટનું પોતાનું રૂટ પ્રમાણપત્ર રૂટ પ્રમાણપત્ર સ્ટોર્સમાં સંકલિત કરવામાં આવ્યું હતું.

મૂળભૂત રીતે એવું આયોજન કરવામાં આવ્યું હતું કે DST રૂટ CA X3 ના અવમૂલ્યન પછી, લેટ્સ એન્ક્રિપ્ટ પ્રોજેક્ટ ફક્ત તેના રૂટ પ્રમાણપત્રનો ઉપયોગ કરીને હસ્તાક્ષર જનરેટ કરવા પર સ્વિચ કરશે, પરંતુ આવા પગલાથી મોટી સંખ્યામાં જૂની સિસ્ટમો સાથે સુસંગતતા ખોવાઈ જશે જે ન હતી. ચાલો એન્ક્રિપ્ટ રુટ પ્રમાણપત્રને તેમની રીપોઝીટરીઝમાં ઉમેરો. ખાસ કરીને, ઉપયોગમાં લેવાતા લગભગ 30% Android ઉપકરણો પાસે Let's Encrypt રુટ પ્રમાણપત્ર પરનો ડેટા નથી, જેના માટે સપોર્ટ ફક્ત Android 7.1.1 પ્લેટફોર્મથી શરૂ થતો દેખાય છે, જે 2016 ના અંતમાં બહાર પાડવામાં આવ્યો હતો.

ચાલો એન્ક્રિપ્ટે નવા ક્રોસ-સિગ્નેચર એગ્રીમેન્ટમાં પ્રવેશવાનું આયોજન કર્યું ન હતું, કારણ કે આ કરારના પક્ષકારો પર વધારાની જવાબદારી લાદે છે, તેમને સ્વતંત્રતાથી વંચિત રાખે છે અને અન્ય પ્રમાણપત્ર સત્તાધિકારીની તમામ પ્રક્રિયાઓ અને નિયમોના પાલનની દ્રષ્ટિએ તેમના હાથ બાંધે છે. પરંતુ મોટી સંખ્યામાં Android ઉપકરણો પર સંભવિત સમસ્યાઓના કારણે, યોજનામાં સુધારો કરવામાં આવ્યો હતો. IdenTrust સર્ટિફિકેશન ઓથોરિટી સાથે એક નવો કરાર કરવામાં આવ્યો હતો, જેના માળખામાં વૈકલ્પિક ક્રોસ-સાઇન કરેલ Let's Encrypt મધ્યવર્તી પ્રમાણપત્ર બનાવવામાં આવ્યું હતું. ક્રોસ-સિગ્નેચર ત્રણ વર્ષ માટે માન્ય રહેશે અને સંસ્કરણ 2.3.6 થી શરૂ થતા Android ઉપકરણો માટે સમર્થન જાળવી રાખશે.

જો કે, નવું મધ્યવર્તી પ્રમાણપત્ર અન્ય ઘણી વારસાની સિસ્ટમોને આવરી લેતું નથી. ઉદાહરણ તરીકે, 3 સપ્ટેમ્બરના રોજ DST રુટ CA X30 પ્રમાણપત્રના અવમૂલ્યન સાથે, ચાલો એન્ક્રિપ્ટ પ્રમાણપત્રો હવે અસમર્થિત ફર્મવેર અને ઑપરેટિંગ સિસ્ટમ્સ પર સ્વીકારવામાં આવશે નહીં જેને લેટ્સ પર વિશ્વાસ સુનિશ્ચિત કરવા માટે રુટ પ્રમાણપત્ર સ્ટોરમાં મેન્યુઅલી ISRG રુટ X1 પ્રમાણપત્ર ઉમેરવાની જરૂર છે. પ્રમાણપત્રો એન્ક્રિપ્ટ કરો. સમસ્યાઓ પોતાને આમાં પ્રગટ કરશે:

• ઓપનએસએસએલ સુધી શાખા 1.0.2 સહિત (શાખા 1.0.2 ની જાળવણી ડિસેમ્બર 2019 માં બંધ કરવામાં આવી હતી);
• NSS < 3.26;
• Java 8 < 8u141, Java 7 < 7u151;
• વિન્ડોઝ < XP SP3;
• macOS < 10.12.1;
• iOS < 10 (iPhone < 5);
• એન્ડ્રોઇડ < 2.3.6;
• મોઝિલા ફાયરફોક્સ <50;
• ઉબુન્ટુ <16.04;
• ડેબિયન < 8.

OpenSSL 1.0.2 ના કિસ્સામાં, સમસ્યા એ બગને કારણે થાય છે જે ક્રોસ-સહી કરેલ પ્રમાણપત્રોને યોગ્ય રીતે પ્રક્રિયા થવાથી અટકાવે છે જો સહી કરવા માટે ઉપયોગમાં લેવાતા રૂટ પ્રમાણપત્રોમાંથી એક સમાપ્ત થઈ જાય, પછી ભલેને અન્ય માન્ય સાંકળો રહે. Sectigo (Comodo) સર્ટિફિકેશન ઓથોરિટી તરફથી ક્રોસ-સાઇન સર્ટિફિકેટ માટે વપરાતું AddTrust પ્રમાણપત્ર અપ્રચલિત થઈ ગયું તે પછી ગયા વર્ષે આ સમસ્યા સૌપ્રથમ સામે આવી હતી. સમસ્યાનું મૂળ એ છે કે OpenSSL એ પ્રમાણપત્રને રેખીય સાંકળ તરીકે પાર્સ કર્યું છે, જ્યારે RFC 4158 મુજબ, પ્રમાણપત્ર બહુવિધ ટ્રસ્ટ એન્કર સાથે નિર્દેશિત વિતરિત પરિપત્ર ગ્રાફનું પ્રતિનિધિત્વ કરી શકે છે જેને ધ્યાનમાં લેવાની જરૂર છે.

OpenSSL 1.0.2 પર આધારિત જૂના ડિસ્ટ્રિબ્યુશનના વપરાશકર્તાઓને સમસ્યા હલ કરવા માટે ત્રણ ઉપાયો ઓફર કરવામાં આવે છે:

• IdenTrust DST Root CA X3 રુટ પ્રમાણપત્રને મેન્યુઅલી દૂર કર્યું અને એકલા (ક્રોસ-સાઇન કરેલ નથી) ISRG રુટ X1 રુટ પ્રમાણપત્ર ઇન્સ્ટોલ કર્યું.
• Openssl verify અને s_client આદેશો ચલાવતી વખતે, તમે “--trusted_first” વિકલ્પનો ઉલ્લેખ કરી શકો છો.
• સર્વર પર એક અલગ રૂટ પ્રમાણપત્ર SRG રૂટ X1 દ્વારા પ્રમાણિત પ્રમાણપત્રનો ઉપયોગ કરો, જેમાં ક્રોસ-સિગ્નેચર નથી. આ પદ્ધતિ જૂના Android ક્લાયંટ સાથે સુસંગતતા ગુમાવશે.

વધુમાં, અમે નોંધ કરી શકીએ છીએ કે Let's Encrypt પ્રોજેક્ટે બે બિલિયન જનરેટ થયેલા પ્રમાણપત્રોના માઇલસ્ટોનને પાર કર્યો છે. ગયા વર્ષે ફેબ્રુઆરીમાં એક અબજનો માઈલસ્ટોન પહોંચ્યો હતો. દરરોજ 2.2-2.4 મિલિયન નવા પ્રમાણપત્રો જનરેટ થાય છે. સક્રિય પ્રમાણપત્રોની સંખ્યા 192 મિલિયન છે (એક પ્રમાણપત્ર ત્રણ મહિના માટે માન્ય છે) અને લગભગ 260 મિલિયન ડોમેન્સને આવરી લે છે (195 મિલિયન ડોમેન્સ એક વર્ષ પહેલાં આવરી લેવામાં આવ્યા હતા, 150 મિલિયન બે વર્ષ પહેલાં, 60 મિલિયન ત્રણ વર્ષ પહેલાં). ફાયરફોક્સ ટેલિમેટ્રી સેવાના આંકડા અનુસાર, HTTPS દ્વારા પૃષ્ઠ વિનંતીઓનો વૈશ્વિક શેર 82% છે (એક વર્ષ પહેલા - 81%, બે વર્ષ પહેલા - 77%, ત્રણ વર્ષ પહેલા - 69%, ચાર વર્ષ પહેલા - 58%).

સોર્સ: opennet.ru