NPM საცავი უარყოფს TLS 1.0 და 1.1 მხარდაჭერას

GitHub-მა გადაწყვიტა შეწყვიტოს მხარდაჭერა TLS 1.0-ისა და 1.1-ისთვის NPM პაკეტის საცავში და NPM პაკეტის მენეჯერთან დაკავშირებულ ყველა საიტზე, მათ შორის npmjs.com. 4 ოქტომბრიდან საცავთან დაკავშირება, პაკეტების დაყენების ჩათვლით, საჭიროებს კლიენტს, რომელიც მხარს უჭერს მინიმუმ TLS 1.2-ს. თავად GitHub-ზე TLS 1.0/1.1 მხარდაჭერა შეწყდა ჯერ კიდევ 2018 წლის თებერვალში. ნათქვამია, რომ მოტივი არის მისი სერვისების უსაფრთხოება და მომხმარებლის მონაცემების კონფიდენციალურობა. GitHub-ის თანახმად, NPM საცავში მოთხოვნის დაახლოებით 99% უკვე შესრულებულია TLS 1.2 ან 1.3-ის გამოყენებით, ხოლო Node.js მოიცავს TLS 1.2-ის მხარდაჭერას 2013 წლიდან (0.10 გამოშვების შემდეგ), ასე რომ ცვლილება იმოქმედებს მხოლოდ მცირე ნაწილზე. მომხმარებლები.

შეგახსენებთ, რომ TLS 1.0 და 1.1 პროტოკოლები ოფიციალურად იქნა კლასიფიცირებული, როგორც მოძველებული ტექნოლოგიები IETF-ის (Internet Engineering Task Force) მიერ. TLS 1.0 სპეციფიკაცია გამოქვეყნდა 1999 წლის იანვარში. შვიდი წლის შემდეგ, გამოვიდა TLS 1.1 განახლება უსაფრთხოების გაუმჯობესებით, რომელიც დაკავშირებულია ინიციალიზაციის ვექტორებთან და ბალიშებთან. TLS 1.0/1.1-ის მთავარ პრობლემებს შორის არის თანამედროვე შიფრების მხარდაჭერის ნაკლებობა (მაგალითად, ECDHE და AEAD) და ძველი შიფრების მხარდაჭერის მოთხოვნის სპეციფიკაციაში არსებობა, რომელთა სანდოობა კითხვის ნიშნის ქვეშ დგას მიმდინარე ეტაპზე. გამოთვლითი ტექნოლოგიის განვითარება (მაგალითად, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA-ის მხარდაჭერა საჭიროა მთლიანობის შესამოწმებლად და ავთენტიფიკაცია იყენებს MD5 და SHA-1). მოძველებული ალგორითმების მხარდაჭერამ უკვე გამოიწვია შეტევები, როგორიცაა ROBOT, DROWN, BEAST, Logjam და FREAK. თუმცა, ეს პრობლემები პირდაპირ არ განიხილებოდა პროტოკოლის ხარვეზებად და მოგვარდა მისი განხორციელების დონეზე. TLS 1.0/1.1 პროტოკოლებს არ გააჩნიათ კრიტიკული დაუცველობა, რომელთა გამოყენება შესაძლებელია პრაქტიკული შეტევების განსახორციელებლად.

წყარო: opennet.ru