किसी ब्राउज़र द्वारा किसी वेबसाइट को प्रमाणित करने के लिए, यह स्वयं को प्रमाणपत्रों की एक वैध श्रृंखला के रूप में प्रस्तुत करता है। एक विशिष्ट श्रृंखला शीर्ष पर दिखाई गई है और इसमें एक से अधिक मध्यवर्ती प्रमाणपत्र हो सकते हैं। एक वैध श्रृंखला में प्रमाणपत्रों की न्यूनतम संख्या तीन है।

मूल प्रमाणपत्र प्रमाणन प्राधिकारी का हृदय है। यह वस्तुतः आपके ओएस या ब्राउज़र में बनाया गया है, यह आपके डिवाइस पर भौतिक रूप से मौजूद है। आप इसे सर्वर साइड से नहीं बदल सकते. आपको अपने डिवाइस पर ओएस या फ़र्मवेयर अपडेट को बाध्य करने की आवश्यकता है।

सुरक्षा विशेषज्ञ स्कॉट हेल्मे Ð ¿Ð ¸ ÑÐμÑ,मुख्य समस्याएँ Let's Encrypt प्रमाणपत्र प्राधिकरण के साथ उत्पन्न होंगी, क्योंकि आज यह इंटरनेट पर सबसे लोकप्रिय CA है, और इसका रूट प्रमाणपत्र जल्द ही समाप्त हो जाएगा। लेट्स एनक्रिप्ट रूट को बदलना 8 जुलाई, 2020 के लिए निर्धारित.

सर्टिफिकेट अथॉरिटी (सीए) एंड और इंटरमीडिएट सर्टिफिकेट क्लाइंट को सर्वर से डिलीवर किया जाता है, जबकि रूट सर्टिफिकेट क्लाइंट को डिलीवर किया जाता है पहले से ही है, इसलिए प्रमाणपत्रों के इस संग्रह के साथ, आप एक साथ श्रृंखला बना सकते हैं और वेबसाइट को प्रमाणित कर सकते हैं।

समस्या यह है कि प्रत्येक प्रमाणपत्र की एक समाप्ति तिथि होती है, जिसके बाद उसे बदलने की आवश्यकता होती है। उदाहरण के लिए, 1 सितंबर, 2020 से, सफ़ारी ब्राउज़र सर्वर टीएलएस प्रमाणपत्रों की वैधता अवधि पर एक सीमा लागू करने की योजना बना रहा है максимум 398 дней.

इसका मतलब यह है कि हम सभी को कम से कम हर 12 महीने में सर्वर प्रमाणपत्र बदलना होगा। यह सीमा केवल सर्वर प्रमाणपत्रों पर लागू होती है नहीं रूट CA प्रमाणपत्रों पर लागू होता है।

सीए प्रमाणपत्र विभिन्न नियमों द्वारा शासित होते हैं और इसलिए उनकी वैधता सीमाएँ अलग-अलग होती हैं। 5 साल की वैधता अवधि वाले इंटरमीडिएट प्रमाणपत्र और 25 साल के जीवनकाल वाले रूट प्रमाणपत्र देखना बहुत आम है!

मध्यवर्ती प्रमाणपत्रों के साथ आमतौर पर कोई समस्या नहीं होती है, क्योंकि वे सर्वर द्वारा क्लाइंट को आपूर्ति की जाती हैं, जो स्वयं अपने प्रमाणपत्र को बहुत अधिक बार बदलता है, ताकि यह इस प्रक्रिया के दौरान मध्यवर्ती प्रमाणपत्र को आसानी से बदल दे। रूट CA प्रमाणपत्र के विपरीत, इसे सर्वर प्रमाणपत्र के साथ बदलना काफी आसान है।

जैसा कि हमने पहले ही कहा है, रूट CA सीधे क्लाइंट डिवाइस में, OS में, ब्राउज़र या अन्य सॉफ़्टवेयर में बनाया जाता है। रूट सीए को बदलना वेबसाइट के नियंत्रण से बाहर है। इसके लिए क्लाइंट पर अपडेट की आवश्यकता होती है, चाहे वह ओएस हो या सॉफ़्टवेयर अपडेट।

कुछ रूट सीए बहुत लंबे समय से, लगभग 20-25 वर्षों से मौजूद हैं। जल्द ही कुछ सबसे पुराने रूट सीए अपने प्राकृतिक जीवन के अंत के करीब होंगे, उनका समय लगभग समाप्त हो जाएगा। हममें से अधिकांश के लिए, यह बिल्कुल भी कोई समस्या नहीं होगी, क्योंकि सीए ने नए रूट प्रमाणपत्र बनाए हैं, और उन्हें वर्षों से ओएस और ब्राउज़र अपडेट में पूरी दुनिया में वितरित किया गया है। लेकिन अगर किसी ने बहुत लंबे समय से अपने ओएस या ब्राउज़र को अपडेट नहीं किया है, तो यह एक तरह की समस्या है।

यह स्थिति 30 मई, 2020 को 10:48:38 GMT पर उत्पन्न हुई। यह ठीक वही समय है जब सड़ा हुआ जड़ प्रमाणपत्र AddTrust कोमोडो सर्टिफिकेट अथॉरिटी (सेक्टिगो) से।

इसका उपयोग उन पुराने उपकरणों के साथ संगतता सुनिश्चित करने के लिए क्रॉस-साइनिंग के लिए किया गया था जिनके पास स्टोर में नया USERTrust रूट प्रमाणपत्र नहीं है।

दुर्भाग्य से, समस्याएँ न केवल पुराने ब्राउज़रों में उत्पन्न हुईं, बल्कि OpenSSL 1.0.x, LibreSSL और पर आधारित गैर-ब्राउज़र क्लाइंट में भी उत्पन्न हुईं। GNUTLS. उदाहरण के लिए, टीवी बक्सों में साल, सेवा Heroku, फोर्टिनेट में, चार्जिफाई, लिनक्स पर .NET कोर 2.0, और कई दूसरे.

यह मान लिया गया था कि समस्या केवल लीगेसी सिस्टम (एंड्रॉइड 2.3, विंडोज एक्सपी, मैक ओएस एक्स 10.11, आईओएस 9, आदि) को प्रभावित करेगी, क्योंकि आधुनिक ब्राउज़र दूसरे USERTRust रूट प्रमाणपत्र का उपयोग कर सकते हैं। लेकिन वास्तव में, सैकड़ों वेब सेवाएँ जो मुफ़्त लाइब्रेरी OpenSSL 1.0.x और GnuTLS का उपयोग करती थीं, विफल होने लगीं। पुरानी प्रमाणपत्र त्रुटि के कारण सुरक्षित कनेक्शन स्थापित नहीं किया जा सका।

अगला - आइए एन्क्रिप्ट करें

आगामी रूट CA परिवर्तन का एक और अच्छा उदाहरण लेट्स एनक्रिप्ट CA है। अधिक अप्रैल 2019 वर्षों में उन्होंने आइडेंट्रस्ट श्रृंखला से अपनी स्वयं की आईएसआरजी रूट श्रृंखला में जाने की योजना बनाई, लेकिन यह ऐसा नहीं हुआ.

लेट्स एनक्रिप्ट ने एक आधिकारिक पोस्ट में कहा, "एंड्रॉइड डिवाइस पर आईएसआरजी रूट के कम प्रचार-प्रसार के बारे में चिंताओं के कारण, हमने मूल रूट में संक्रमण की तारीख को 8 जुलाई, 2019 से बढ़ाकर 8 जुलाई, 2020 करने का फैसला किया है।"

तारीख को एक समस्या के कारण पुनर्निर्धारित करना पड़ा जिसे "रूट प्रसार" कहा जाता है, या अधिक विशेष रूप से, रूट प्रसार की कमी जब रूट सीए सभी ग्राहकों पर व्यापक रूप से वितरित नहीं होता है।

आइए एन्क्रिप्ट करें वर्तमान में IdenTrust DST रूट CA X3 रूट से जुड़े एक क्रॉस-हस्ताक्षरित मध्यवर्ती प्रमाणपत्र का उपयोग करता है। यह रूट प्रमाणपत्र सितंबर 2000 में जारी किया गया था और 30 सितंबर, 2021 को समाप्त हो जाएगा। तब तक, Let's Encrypt अपने स्व-हस्ताक्षरित ISRG रूट X1 पर स्विच करने की योजना बना रहा है।

आईएसआरजी रूट 4 जून 2015 को जारी किया गया था। इसके बाद सर्टिफिकेशन अथॉरिटी के तौर पर इसकी मंजूरी की प्रक्रिया शुरू हुई, जो खत्म हो गई 6 अगस्त वर्ष 2018. उस समय से, रूट CA को ऑपरेटिंग सिस्टम या सॉफ़्टवेयर अपडेट के माध्यम से सभी क्लाइंट के लिए उपलब्ध कराया गया था। आपको बस अपडेट इंस्टॉल करना था।

लेकिन समस्या यहीं है।

यदि आपका मोबाइल फोन, टीवी या अन्य डिवाइस दो साल से अपडेट नहीं हुआ है - तो उसे नए ISRG रूट X1 रूट सर्टिफिकेट के बारे में कैसे पता चलेगा? और यदि यह सिस्टम पर स्थापित नहीं है, तो जैसे ही लेट्स एनक्रिप्ट एक नए रूट पर जाता है, सभी लेट्स एनक्रिप्ट सर्वर प्रमाणपत्र आपके डिवाइस द्वारा अमान्य कर दिए जाएंगे। और एंड्रॉइड इकोसिस्टम में कई पुराने डिवाइस हैं जिन्हें लंबे समय से अपडेट नहीं किया गया है।

एंड्रॉइड इकोसिस्टम

यही कारण है कि Let's Encrypt ने अपने स्वयं के ISRG रूट में संक्रमण को स्थगित कर दिया है और अभी भी एक इंटरमीडिएट का उपयोग करता है जो IdenTrust रूट पर उतरता है। लेकिन परिवर्तन वैसे भी करना होगा। और मूल परिवर्तन की तिथि नियुक्त की जाती है जुलाई 8 2020 साल.

यह जाँचने के लिए कि आपके डिवाइस (टीवी, सेट-टॉप बॉक्स या अन्य क्लाइंट) में ISRG X1 रूट स्थापित है, परीक्षण साइट खोलें https://valid-isrgrootx1.letsencrypt.org/. यदि आपको कोई सुरक्षा चेतावनी नहीं दिखती है, तो आप आमतौर पर ठीक हैं।

लेट्स एनक्रिप्ट एकमात्र ऐसा नहीं है जो नए रूट पर जाने की समस्या का सामना कर रहा है। इंटरनेट पर क्रिप्टोग्राफी का उपयोग 20 साल से कुछ अधिक समय पहले शुरू हुआ था, इसलिए अभी कई रूट प्रमाणपत्रों की समाप्ति का समय है।

स्मार्ट टीवी के मालिक जिन्होंने कई वर्षों से अपने स्मार्ट टीवी सॉफ़्टवेयर को अपडेट नहीं किया है, उन्हें ऐसी समस्या का सामना करना पड़ सकता है। उदाहरण के लिए, नया ग्लोबलसाइन रूट R5 जड़ 2012 में रिलीज़ किया गया था, और उसके बाद कुछ पुराने स्मार्ट टीवी इसकी श्रृंखला नहीं बना सकते, क्योंकि उनके पास बस यह रूट CA नहीं है। विशेष रूप से, ये ग्राहक bbc.co.uk से सुरक्षित कनेक्शन स्थापित नहीं कर सके। समस्या को हल करने के लिए, बीबीसी व्यवस्थापकों को एक तरकीब का सहारा लेना पड़ा: वे इन ग्राहकों के लिए एक वैकल्पिक श्रृंखला बनाई पुरानी जड़ों का उपयोग करके, अतिरिक्त मध्यवर्ती प्रमाणपत्रों के माध्यम से R3 जड़ и R1 जड़जो अभी तक सड़े नहीं हैं.

www.bbc.co.uk (लीफ) ग्लोबलसाइन ईसीसी ओवी एसएसएल सीए 2018 (इंटरमीडिएट) ग्लोबलसाइन रूट सीए - आर5 (इंटरमीडिएट) ग्लोबलसाइन रूट सीए - आर3 (इंटरमीडिएट)

यह एक अस्थायी समाधान है. यदि आप क्लाइंट सॉफ़्टवेयर को अद्यतन नहीं करते हैं तो समस्या दूर नहीं होगी। एक स्मार्ट टीवी अनिवार्य रूप से सीमित कार्यक्षमता वाला एक लिनक्स कंप्यूटर है। और अपडेट के बिना, इसके रूट प्रमाणपत्र अनिवार्य रूप से खराब हो जाएंगे।

यह केवल टीवी ही नहीं, बल्कि सभी उपकरणों पर लागू होता है। यदि आपके पास कोई ऐसा उपकरण है जो इंटरनेट से जुड़ा है और जिसे "स्मार्ट" उपकरण के रूप में विज्ञापित किया गया है, तो सड़े हुए प्रमाणपत्रों की समस्या लगभग निश्चित रूप से इससे संबंधित है। यदि डिवाइस अद्यतन नहीं है, तो CA रूट स्टोर समय के साथ पुराना हो जाएगा, और अंततः समस्या फिर से सामने आएगी। समस्या कितनी जल्दी होती है यह इस पर निर्भर करता है कि रूट स्टोर को आखिरी बार कब अपडेट किया गया था। यह डिवाइस की वास्तविक रिलीज़ तिथि से कई वर्ष पहले हो सकता है।

वैसे, यही समस्या है, क्यों कुछ प्रमुख मीडिया प्लेटफ़ॉर्म लेट्स एनक्रिप्ट जैसे आधुनिक स्वचालित प्रमाणपत्र प्राधिकरणों का उपयोग नहीं कर सकते, स्कॉट हेल्मे लिखते हैं। वे स्मार्ट टीवी के लिए उपयुक्त नहीं हैं, और पुराने उपकरणों पर प्रमाणपत्र समर्थन की गारंटी देने के लिए रूट्स की संख्या बहुत कम है। अन्यथा, टीवी आधुनिक स्ट्रीमिंग सेवाएं लॉन्च करने में सक्षम नहीं होगा।

नवीनतम ऐडट्रस्ट घटना से पता चला है कि बड़ी आईटी कंपनियां भी इस तथ्य के लिए तैयार नहीं हैं कि रूट प्रमाणपत्र समाप्त हो रहा है।

समस्या का एक ही समाधान है - अद्यतन करना। स्मार्ट डिवाइस डेवलपर्स को सॉफ़्टवेयर और रूट प्रमाणपत्रों को पहले से अपडेट करने के लिए एक तंत्र प्रदान करना चाहिए। दूसरी ओर, निर्माताओं के लिए वारंटी अवधि समाप्त होने के बाद अपने उपकरणों के संचालन को सुनिश्चित करना लाभहीन है।

स्रोत: www.habr.com