ब्राउज़र द्वारा किसी वेबसाइट को प्रमाणित करने के लिए, वेबसाइट को स्वयं को एक वैध प्रमाणपत्र श्रृंखला के साथ प्रस्तुत करना होता है। एक विशिष्ट श्रृंखला ऊपर दिखाई गई है, और इसमें एक से अधिक मध्यवर्ती प्रमाणपत्र हो सकते हैं। वैध श्रृंखला में प्रमाणपत्रों की न्यूनतम संख्या तीन है।

रूट प्रमाणपत्र प्रमाणन प्राधिकरण का दिल है। यह वस्तुतः आपके ओएस या ब्राउज़र में बनाया गया है, यह आपके डिवाइस पर भौतिक रूप से मौजूद है। इसे सर्वर की तरफ से नहीं बदला जा सकता है। डिवाइस पर ओएस या फ़र्मवेयर का जबरन अपडेट आवश्यक है।

सुरक्षा विशेषज्ञ स्कॉट हेल्मे Ð ¿Ð ¸ ÑÐμÑ,, कि मुख्य समस्याएँ लेट्स एनक्रिप्ट प्रमाणन केंद्र के साथ उत्पन्न होंगी, क्योंकि आज यह इंटरनेट पर सबसे लोकप्रिय सीए है, और इसका रूट प्रमाणपत्र जल्द ही "खराब हो जाएगा"। लेट्स एनक्रिप्ट रूट परिवर्तन 8 जुलाई 2020 को निर्धारित.

प्रमाणन प्राधिकरण (सीए) के अंतिम और मध्यवर्ती प्रमाणपत्र सर्वर से क्लाइंट तक पहुंचाए जाते हैं, और रूट प्रमाणपत्र क्लाइंट पर होता है पहले से ही है, इसलिए प्रमाणपत्रों के इस संग्रह का उपयोग करके, आप एक श्रृंखला बना सकते हैं और एक वेबसाइट को प्रमाणित कर सकते हैं।

समस्या यह है कि प्रत्येक प्रमाणपत्र की एक समाप्ति तिथि होती है, जिसके बाद उसे बदलना पड़ता है। उदाहरण के लिए, 1 सितंबर, 2020 से, सफारी ब्राउज़र सर्वर TLS प्रमाणपत्रों की वैधता अवधि पर एक सीमा लागू करने की योजना बना रहा है। अधिकतम 398 दिन.

इसका मतलब यह है कि हम सभी को कम से कम हर 12 महीने में अपने सर्वर सर्टिफिकेट बदलने होंगे। यह प्रतिबंध केवल सर्वर सर्टिफिकेट पर लागू होता है, यह नहीं रूट CA प्रमाणपत्रों पर लागू होता है.

CA प्रमाणपत्रों को अलग-अलग नियमों द्वारा नियंत्रित किया जाता है, इसलिए उनकी वैधता सीमाएँ अलग-अलग होती हैं। इंटरमीडिएट प्रमाणपत्रों की वैधता 5 वर्ष और रूट प्रमाणपत्रों की वैधता 25 वर्ष तक होना बहुत आम बात है!

मध्यवर्ती प्रमाणपत्र आमतौर पर कोई समस्या नहीं होते हैं क्योंकि वे क्लाइंट को सर्वर द्वारा दिए जाते हैं, जो स्वयं अपने प्रमाणपत्र को बहुत अधिक बार बदलता है, इसलिए यह इस प्रक्रिया के दौरान केवल मध्यवर्ती प्रमाणपत्र को बदल देता है। रूट CA प्रमाणपत्र के विपरीत, सर्वर प्रमाणपत्र के साथ इसे बदलना काफी आसान है।

जैसा कि हम पहले ही कह चुके हैं, रूट CA सीधे क्लाइंट डिवाइस में, OS में, ब्राउज़र या अन्य सॉफ़्टवेयर में बनाया गया है। वेबसाइट रूट CA में परिवर्तनों को नियंत्रित नहीं कर सकती। इसके लिए क्लाइंट पर अपडेट की आवश्यकता होती है, चाहे वह OS हो या सॉफ़्टवेयर अपडेट।

कुछ रूट CA बहुत लंबे समय से मौजूद हैं, हम 20-25 साल की बात कर रहे हैं। जल्द ही, कुछ सबसे पुराने रूट CA अपने प्राकृतिक जीवन के अंत के करीब होंगे, उनका समय लगभग समाप्त हो चुका है। हममें से ज़्यादातर लोगों के लिए, यह बिल्कुल भी समस्या नहीं होगी, क्योंकि CA ने नए रूट प्रमाणपत्र बनाए हैं, और वे सालों से OS और ब्राउज़र अपडेट में दुनिया भर में रोल आउट कर रहे हैं। लेकिन अगर किसी ने बहुत लंबे समय से अपने OS या ब्राउज़र को अपडेट नहीं किया है, तो यह एक तरह की समस्या है।

यह स्थिति 30 मई, 2020 को 10:48:38 GMT पर घटित हुई। यह वही समय है जब AddTrust रूट प्रमाणपत्र ख़राब है कोमोडो (सेक्टिगो) प्रमाणन प्राधिकरण से।

इसका उपयोग क्रॉस-साइनिंग के लिए किया गया था, ताकि उन पुराने डिवाइसों के साथ संगतता सुनिश्चित की जा सके, जिनके स्टोर में नया USERTrust रूट प्रमाणपत्र नहीं है।

दुर्भाग्य से, समस्याएँ न केवल पुराने ब्राउज़रों में उत्पन्न हुईं, बल्कि OpenSSL 1.0.x, LibreSSL और पर आधारित गैर-ब्राउज़र क्लाइंट में भी उत्पन्न हुईं। GNUTLSउदाहरण के लिए, टीवी सेट-टॉप बॉक्स में साल, सेवा Heroku.NET Core 2.0 प्लेटफॉर्म पर Fortinet और Chargify अनुप्रयोगों में। Linux и कई दूसरे.

यह समस्या केवल पुराने सिस्टमों को ही प्रभावित करने की उम्मीद थी।Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, आदि जैसे ऑपरेटिंग सिस्टम पर यह समस्या बनी हुई है, क्योंकि आधुनिक ब्राउज़र दूसरे रूट सर्टिफिकेट USERTRust का उपयोग कर सकते हैं। हालांकि, वास्तविकता में, ओपन-सोर्स OpenSSL 1.0.x और GnuTLS लाइब्रेरी का उपयोग करने वाली सैकड़ों वेब सेवाओं में क्रैश होने की समस्या आने लगी। सुरक्षित कनेक्शन विफल हो गए और सर्टिफिकेट के पुराने होने के बारे में एक त्रुटि संदेश दिखाई दिया।

अगला है लेट्स एनक्रिप्ट

आगामी रूट CA परिवर्तन का एक और अच्छा उदाहरण है Let's Encrypt CA. अधिक जानकारी अप्रैल 2019 में उन्होंने आइडेनट्रस्ट श्रृंखला से अपनी स्वयं की आईएसआरजी रूट श्रृंखला में माइग्रेट करने की योजना बनाई, लेकिन यह नहीं हुआ.

उपकरणों पर आईएसआरजी रूट पेनिट्रेशन की कमी के बारे में चिंताओं के कारण, Android "हमने नेटिव रूट ट्रांजिशन की तारीख 8 जुलाई, 2019 से बदलकर 8 जुलाई, 2020 करने का फैसला किया है," लेट्स एनक्रिप्ट ने एक आधिकारिक बयान में कहा।

"रूट प्रोपेगेशन" नामक समस्या के कारण, या अधिक सटीक रूप से कहें तो रूट प्रोपेगेशन की कमी के कारण, जहां रूट CA सभी क्लाइंटों में व्यापक रूप से वितरित नहीं है, तिथि को आगे बढ़ाना पड़ा।

लेट्स एनक्रिप्ट वर्तमान में IdenTrust DST रूट CA X3 रूट से जुड़े क्रॉस-साइन किए गए इंटरमीडिएट सर्टिफिकेट का उपयोग करता है। यह रूट सर्टिफिकेट सितंबर 2000 में जारी किया गया था और 30 सितंबर, 2021 को समाप्त हो रहा है। उस समय से पहले, लेट्स एनक्रिप्ट अपने स्वयं के स्व-हस्ताक्षरित रूट ISRG रूट X1 पर स्विच करने की योजना बना रहा है।

ISRG रूट 4 जून 2015 को जारी किया गया था। इसके बाद प्रमाणन प्राधिकरण के रूप में इसकी स्वीकृति की प्रक्रिया शुरू हुई, जो XNUMX में पूरी हो गई। 6 अगस्त वर्ष 2018. उस समय से, रूट CA ऑपरेटिंग सिस्टम या सॉफ़्टवेयर अपडेट के ज़रिए सभी क्लाइंट के लिए उपलब्ध था। बस इतना करना था कि अपडेट इंस्टॉल करना था।

लेकिन समस्या यही है.

अगर आपके मोबाइल फोन, टीवी या अन्य डिवाइस को दो साल से अपडेट नहीं किया गया है, तो उसे नए ISRG Root X1 रूट सर्टिफिकेट के बारे में कैसे पता चलेगा? और अगर यह सिस्टम में इंस्टॉल नहीं है, तो जैसे ही Let's Encrypt नए रूट पर स्विच करेगा, आपके डिवाइस पर मौजूद सभी Let's Encrypt सर्वर सर्टिफिकेट अमान्य हो जाएंगे। Android कई पुराने उपकरण जिन्हें लंबे समय से अपडेट नहीं किया गया है।

पारिस्थितिकी तंत्र Android

इसीलिए लेट्स एनक्रिप्ट ने अपने स्वयं के ISRG रूट में संक्रमण को विलंबित कर दिया है और अभी भी एक मध्यवर्ती लिंक का उपयोग कर रहा है जो IdenTrust रूट तक जाता है। लेकिन संक्रमण वैसे भी होना ही होगा। और रूट परिवर्तन की तिथि निर्धारित की गई है जुलाई 8 2020 साल.

यह जांचने के लिए कि क्या आपके डिवाइस (टीवी, सेट-टॉप बॉक्स या अन्य क्लाइंट) में ISRG X1 रूट इंस्टॉल है, परीक्षण साइट खोलें https://valid-isrgrootx1.letsencrypt.org/यदि आपको कोई सुरक्षा चेतावनी नहीं मिलती है, तो आमतौर पर सब कुछ ठीक रहता है।

लेट्स एनक्रिप्ट ही एकमात्र ऐसा नहीं है जो रूट ट्रांजिशन से जूझ रहा है। इंटरनेट पर क्रिप्टोग्राफी लगभग 20 साल से ज़्यादा समय से है, इसलिए अब कई रूट सर्टिफिकेट की वैधता समाप्त होने वाली है।

यह समस्या उन स्मार्ट टीवी मालिकों को हो सकती है जिन्होंने कई सालों से अपने स्मार्ट टीवी सॉफ़्टवेयर को अपडेट नहीं किया है। उदाहरण के लिए, नया ग्लोबलसाइन रूट R5 रूट 2012 में रिलीज़ किया गया था, और उसके बाद कुछ पुराने स्मार्ट टीवी इस पर चेन नहीं बना पाए, क्योंकि उनके पास यह रूट CA नहीं था। विशेष रूप से, ये क्लाइंट bbc.co.uk वेबसाइट से सुरक्षित कनेक्शन स्थापित नहीं कर पाए। समस्या को हल करने के लिए, बीबीसी एडमिन को एक तरकीब अपनानी पड़ी: उन्होंने इन ग्राहकों के लिए एक वैकल्पिक श्रृंखला बनाई गई अतिरिक्त मध्यवर्ती प्रमाणपत्रों के माध्यम से, पुरानी जड़ों का उपयोग करके R3 रूट и R1 रूटजो अभी तक सड़ी नहीं हैं।

www.bbc.co.uk (लीफ़) ग्लोबलसाइन ECC OV SSL CA 2018 (इंटरमीडिएट) ग्लोबलसाइन रूट CA - R5 (इंटरमीडिएट) ग्लोबलसाइन रूट CA - R3 (इंटरमीडिएट)

यह एक अस्थायी समाधान है। क्लाइंट सॉफ़्टवेयर को अपडेट किए बिना समस्या दूर नहीं होगी। स्मार्ट टीवी मूल रूप से सीमित कार्यक्षमता वाला एक कंप्यूटर है। Linuxऔर बिना अपडेट के, इसके मूल प्रमाणपत्र अनिवार्य रूप से अमान्य हो जाएंगे।

यह सभी डिवाइस पर लागू होता है, सिर्फ़ टीवी पर नहीं। अगर आपके पास कोई ऐसा डिवाइस है जो इंटरनेट से जुड़ा है और जिसे "स्मार्ट" डिवाइस के तौर पर विज्ञापित किया गया है, तो पुराने प्रमाणपत्रों की समस्या लगभग निश्चित रूप से उसे प्रभावित करती है। अगर डिवाइस अपडेट नहीं है, तो CA रूट स्टोर समय के साथ पुराना हो जाएगा और अंततः समस्या सामने आएगी। समस्या कितनी जल्दी होगी यह इस बात पर निर्भर करता है कि रूट स्टोर को आखिरी बार कब अपडेट किया गया था। यह डिवाइस के वास्तव में रिलीज़ होने से कई साल पहले हो सकता है।

वैसे, यही समस्या है कि कुछ बड़े मीडिया प्लेटफ़ॉर्म आधुनिक स्वचालित प्रमाणपत्र प्राधिकरण जैसे कि लेट्स एनक्रिप्ट का उपयोग क्यों नहीं कर सकते हैं, स्कॉट हेल्मे लिखते हैं। वे स्मार्ट टीवी के लिए उपयुक्त नहीं हैं, और पुराने उपकरणों पर प्रमाणपत्र के लिए समर्थन की गारंटी देने के लिए रूट की संख्या बहुत कम है। अन्यथा, टीवी आधुनिक स्ट्रीमिंग सेवाओं को लॉन्च करने में सक्षम नहीं होगा।

एडट्रस्ट के साथ हुई नवीनतम घटना से पता चला है कि बड़ी आईटी कंपनियां भी इस तथ्य के लिए तैयार नहीं हैं कि रूट प्रमाणपत्र की समयसीमा समाप्त हो जाएगी।

समस्या का केवल एक ही समाधान है - अपडेट करना। स्मार्ट डिवाइस डेवलपर्स को पहले से ही सॉफ़्टवेयर और रूट प्रमाणपत्र अपडेट करने के लिए एक तंत्र प्रदान करना चाहिए। दूसरी ओर, वारंटी अवधि समाप्त होने के बाद अपने उपकरणों के संचालन को सुनिश्चित करना निर्माताओं के लिए लाभदायक नहीं है।

स्रोत: www.habr.com