IdenTrust रूट प्रमाणपत्र की समाप्ति से पुराने उपकरणों पर Let's Encrypt में विश्वास खो जाएगा

30 सितंबर को 17:01 मॉस्को समय पर, IdenTrust रूट सर्टिफिकेट (DST रूट CA X3), जिसका उपयोग लेट्स एनक्रिप्ट सर्टिफिकेशन अथॉरिटी (ISRG रूट X1) के रूट सर्टिफिकेट को क्रॉस-साइन करने के लिए किया गया था, जिसे समुदाय द्वारा नियंत्रित किया जाता है और सभी को निःशुल्क प्रमाण पत्र प्रदान करता है, समाप्त हो जाता है। क्रॉस-साइनिंग ने यह सुनिश्चित किया कि लेट्स एनक्रिप्ट प्रमाणपत्रों को उपकरणों, ऑपरेटिंग सिस्टम और ब्राउज़रों की एक विस्तृत श्रृंखला पर भरोसा किया गया, जबकि लेट्स एनक्रिप्ट का अपना रूट प्रमाणपत्र रूट सर्टिफिकेट स्टोर्स में एकीकृत किया गया था।

मूल रूप से यह योजना बनाई गई थी कि DST रूट CA लेट्स एनक्रिप्ट रूट सर्टिफिकेट को उनके रिपॉजिटरी में जोड़ें। विशेष रूप से, उपयोग में आने वाले लगभग 3% एंड्रॉइड डिवाइसों में लेट्स एनक्रिप्ट रूट प्रमाणपत्र पर डेटा नहीं है, जिसके लिए समर्थन केवल 30 के अंत में जारी एंड्रॉइड 7.1.1 प्लेटफॉर्म के साथ शुरू हुआ था।

लेट्स एनक्रिप्ट ने एक नए क्रॉस-सिग्नेचर समझौते में प्रवेश करने की योजना नहीं बनाई है, क्योंकि यह समझौते के पक्षों पर अतिरिक्त जिम्मेदारी डालता है, उन्हें स्वतंत्रता से वंचित करता है और किसी अन्य प्रमाणन प्राधिकरण की सभी प्रक्रियाओं और नियमों के अनुपालन के मामले में उनके हाथ बांध देता है। लेकिन बड़ी संख्या में एंड्रॉइड डिवाइसों पर संभावित समस्याओं के कारण योजना को संशोधित किया गया था। IdenTrust प्रमाणन प्राधिकरण के साथ एक नया समझौता संपन्न हुआ, जिसके ढांचे के भीतर एक वैकल्पिक क्रॉस-हस्ताक्षरित लेट्स एनक्रिप्ट इंटरमीडिएट प्रमाणपत्र बनाया गया था। क्रॉस-सिग्नेचर तीन साल के लिए वैध होगा और संस्करण 2.3.6 से शुरू होने वाले एंड्रॉइड डिवाइसों के लिए समर्थन बनाए रखेगा।

हालाँकि, नया इंटरमीडिएट प्रमाणपत्र कई अन्य विरासत प्रणालियों को कवर नहीं करता है। उदाहरण के लिए, जब 3 सितंबर को DST रूट CA . समस्याएँ स्वयं प्रकट होंगी:

• ओपनएसएसएल शाखा 1.0.2 तक सम्मिलित है (शाखा 1.0.2 का रखरखाव दिसंबर 2019 में बंद कर दिया गया था);
• एनएसएस <3.26;
• जावा 8 <8u141, जावा 7 <7u151;
• विंडोज़ <एक्सपी एसपी3;
• macOS <10.12.1;
• आईओएस <10 (आईफोन <5);
• एंड्रॉइड <2.3.6;
• मोज़िला फ़ायरफ़ॉक्स <50;
• उबंटू <16.04;
• डेबियन <8.

ओपनएसएसएल 1.0.2 के मामले में, समस्या एक बग के कारण होती है जो क्रॉस-हस्ताक्षरित प्रमाणपत्रों को सही ढंग से संसाधित होने से रोकती है यदि हस्ताक्षर करने के लिए उपयोग किए जाने वाले रूट प्रमाणपत्रों में से एक की समय सीमा समाप्त हो जाती है, भले ही ट्रस्ट की अन्य वैध श्रृंखला बनी रहे। समस्या पहली बार पिछले साल तब सामने आई जब सेक्टिगो (कोमोडो) प्रमाणन प्राधिकरण से प्रमाणपत्रों पर क्रॉस-साइन करने के लिए उपयोग किया जाने वाला ऐडट्रस्ट प्रमाणपत्र अप्रचलित हो गया। समस्या की जड़ यह है कि ओपनएसएसएल ने प्रमाणपत्र को एक रैखिक श्रृंखला के रूप में पार्स किया है, जबकि आरएफसी 4158 के अनुसार, एक प्रमाणपत्र कई ट्रस्ट एंकरों के साथ एक निर्देशित वितरित परिपत्र ग्राफ का प्रतिनिधित्व कर सकता है जिसे ध्यान में रखने की आवश्यकता है।

ओपनएसएसएल 1.0.2 पर आधारित पुराने वितरणों के उपयोगकर्ताओं को समस्या को हल करने के लिए तीन समाधान पेश किए जाते हैं:

• IdenTrust DST रूट CA X3 रूट प्रमाणपत्र को मैन्युअल रूप से हटा दिया गया और स्टैंड-अलोन (क्रॉस-हस्ताक्षरित नहीं) ISRG रूट X1 रूट प्रमाणपत्र स्थापित किया गया।
• ओपनएसएल वेरिफाई और s_client कमांड चलाते समय, आप "--trusted_first" विकल्प निर्दिष्ट कर सकते हैं।
• सर्वर पर एक अलग रूट प्रमाणपत्र एसआरजी रूट एक्स1 द्वारा प्रमाणित प्रमाणपत्र का उपयोग करें, जिसमें क्रॉस-हस्ताक्षर नहीं है। इस पद्धति से पुराने Android क्लाइंट के साथ संगतता ख़त्म हो जाएगी.

इसके अतिरिक्त, हम यह नोट कर सकते हैं कि लेट्स एनक्रिप्ट प्रोजेक्ट ने दो बिलियन जेनरेटेड प्रमाणपत्रों के मील के पत्थर को पार कर लिया है। पिछले साल फरवरी में एक अरब का लक्ष्य हासिल किया गया था। प्रतिदिन 2.2-2.4 मिलियन नए प्रमाणपत्र बनाए जाते हैं। सक्रिय प्रमाणपत्रों की संख्या 192 मिलियन है (एक प्रमाणपत्र तीन महीने के लिए वैध होता है) और लगभग 260 मिलियन डोमेन को कवर करता है (195 मिलियन डोमेन एक साल पहले कवर किए गए थे, 150 मिलियन दो साल पहले, 60 मिलियन तीन साल पहले)। फ़ायरफ़ॉक्स टेलीमेट्री सेवा के आंकड़ों के अनुसार, HTTPS के माध्यम से पेज अनुरोधों की वैश्विक हिस्सेदारी 82% है (एक साल पहले - 81%, दो साल पहले - 77%, तीन साल पहले - 69%, चार साल पहले - 58%)।

स्रोत: opennet.ru