एनपीएम रिपोजिटरी टीएलएस 1.0 और 1.1 के लिए समर्थन को अस्वीकार कर रहा है

GitHub ने NPM पैकेज रिपॉजिटरी और npmjs.com सहित NPM पैकेज मैनेजर से जुड़ी सभी साइटों में TLS 1.0 और 1.1 के लिए समर्थन बंद करने का निर्णय लिया है। 4 अक्टूबर से, रिपॉजिटरी से कनेक्ट करने के लिए, पैकेज इंस्टॉल करने सहित, एक क्लाइंट की आवश्यकता होगी जो कम से कम टीएलएस 1.2 का समर्थन करता हो। GitHub पर ही, TLS 1.0/1.1 के लिए समर्थन फरवरी 2018 में बंद कर दिया गया था। इसका मकसद अपनी सेवाओं की सुरक्षा और उपयोगकर्ता डेटा की गोपनीयता को लेकर चिंता बताया जा रहा है। GitHub के अनुसार, NPM रिपॉजिटरी के लिए लगभग 99% अनुरोध पहले से ही TLS 1.2 या 1.3 का उपयोग करके किए गए हैं, और Node.js ने 1.2 से (रिलीज़ 2013 के बाद से) TLS 0.10 के लिए समर्थन शामिल किया है, इसलिए परिवर्तन केवल एक छोटे से हिस्से को प्रभावित करेगा उपयोगकर्ता.

आइए याद रखें कि TLS 1.0 और 1.1 प्रोटोकॉल को IETF (इंटरनेट इंजीनियरिंग टास्क फोर्स) द्वारा आधिकारिक तौर पर अप्रचलित प्रौद्योगिकियों के रूप में वर्गीकृत किया गया है। टीएलएस 1.0 विनिर्देश जनवरी 1999 में प्रकाशित हुआ था। सात साल बाद, टीएलएस 1.1 अपडेट आरंभीकरण वैक्टर और पैडिंग की पीढ़ी से संबंधित सुरक्षा सुधारों के साथ जारी किया गया था। टीएलएस 1.0/1.1 की मुख्य समस्याओं में आधुनिक सिफर (उदाहरण के लिए, ईसीडीएचई और एईएडी) के लिए समर्थन की कमी और पुराने सिफर का समर्थन करने की आवश्यकता की विशिष्टता में उपस्थिति है, जिसकी विश्वसनीयता पर वर्तमान चरण में सवाल उठाया जा रहा है। कंप्यूटिंग प्रौद्योगिकी का विकास (उदाहरण के लिए, MD3 और SHA-5 का उपयोग करके अखंडता और प्रमाणीकरण की जांच करने के लिए TLS_DHE_DSS_WITH_1DES_EDE_CBC_SHA के लिए समर्थन आवश्यक है)। पुराने एल्गोरिदम के समर्थन से पहले ही ROBOT, DROWN, BEAST, Logjam और FREAK जैसे हमले हो चुके हैं। हालाँकि, इन समस्याओं को सीधे तौर पर प्रोटोकॉल की कमज़ोरियाँ नहीं माना गया और इन्हें इसके कार्यान्वयन के स्तर पर हल किया गया। टीएलएस 1.0/1.1 प्रोटोकॉल में स्वयं महत्वपूर्ण कमजोरियों का अभाव है जिनका उपयोग व्यावहारिक हमलों को अंजाम देने के लिए किया जा सकता है।

स्रोत: opennet.ru