ការផុតកំណត់នៃវិញ្ញាបនបត្រឫសគល់ IdenTrust នឹងនាំឱ្យបាត់បង់ការជឿទុកចិត្តលើ Let's Encrypt នៅលើឧបករណ៍ចាស់ៗ

នៅថ្ងៃទី 30 ខែកញ្ញា វេលាម៉ោង 17:01 នាទីម៉ោងនៅទីក្រុងម៉ូស្គូ វិញ្ញាបនបត្រឫសគល់របស់ក្រុមហ៊ុន IdenTrust (DST Root CA X3) ដែលត្រូវបានប្រើដើម្បីចុះហត្ថលេខាលើវិញ្ញាបនបត្រឫសគល់នៃអាជ្ញាធរវិញ្ញាបនប័ត្រ Let's Encrypt (ISRG Root X1) ដែលត្រូវបានគ្រប់គ្រងដោយ សហគមន៍ និងផ្តល់វិញ្ញាបនបត្រដោយមិនគិតថ្លៃដល់មនុស្សគ្រប់គ្នា ផុតកំណត់។ ការចុះហត្ថលេខាឆ្លងកាត់បានធានាថាវិញ្ញាបនបត្រ Let's Encrypt ត្រូវបានជឿទុកចិត្តលើឧបករណ៍ ប្រព័ន្ធប្រតិបត្តិការ និងកម្មវិធីរុករកតាមអ៊ីនធឺណិតជាច្រើន ខណៈដែលវិញ្ញាបនបត្រឫសគល់ផ្ទាល់របស់ Let's Encrypt ត្រូវបានបញ្ចូលទៅក្នុងហាងលក់វិញ្ញាបនបត្រឫសគល់។

វាត្រូវបានគ្រោងទុកដំបូងថាបន្ទាប់ពីការបដិសេធនៃ DST Root CA X3 គម្រោង Let's Encrypt នឹងប្តូរទៅជាការបង្កើតហត្ថលេខាដោយប្រើតែវិញ្ញាបនបត្រឫសគល់របស់វា ប៉ុន្តែការផ្លាស់ប្តូរបែបនេះនឹងនាំឱ្យបាត់បង់ភាពឆបគ្នាជាមួយនឹងប្រព័ន្ធចាស់ៗមួយចំនួនធំដែលមិនមាន បន្ថែមវិញ្ញាបនបត្រ Let's Encrypt root ទៅឃ្លាំងរបស់ពួកគេ។ ជាពិសេស ឧបករណ៍ Android ប្រហែល 30% ដែលកំពុងប្រើប្រាស់មិនមានទិន្នន័យនៅលើ Let's Encrypt root វិញ្ញាបនបត្រ ការគាំទ្រដែលបានបង្ហាញខ្លួនដោយចាប់ផ្តើមជាមួយប្រព័ន្ធប្រតិបត្តិការ Android 7.1.1 ដែលបានចេញផ្សាយនៅចុងឆ្នាំ 2016 ។

Let's Encrypt មិនមានគម្រោងចូលទៅក្នុងកិច្ចព្រមព្រៀងហត្ថលេខាឆ្លងថ្មីទេ ដោយសារតែនេះដាក់បន្ទុកបន្ថែមលើភាគីនៃកិច្ចព្រមព្រៀង ដកហូតឯករាជ្យភាព និងចងដៃរបស់ពួកគេក្នុងលក្ខខណ្ឌនៃការអនុលោមតាមនីតិវិធីទាំងអស់ និងវិធាននៃអាជ្ញាធរបញ្ជាក់ផ្សេងទៀត។ ប៉ុន្តែដោយសារបញ្ហាដែលអាចកើតមាននៅលើឧបករណ៍ Android មួយចំនួនធំ ផែនការនេះត្រូវបានកែសម្រួល។ កិច្ចព្រមព្រៀងថ្មីមួយត្រូវបានបញ្ចប់ជាមួយនឹងអាជ្ញាធរវិញ្ញាបនប័ត្រ IdenTrust ក្នុងក្របខ័ណ្ឌដែលលិខិតបញ្ជាក់កម្រិតមធ្យម Let's Encrypt ដែលមានហត្ថលេខាជំនួសត្រូវបានបង្កើតឡើង។ ហត្ថលេខាឆ្លងកាត់នឹងមានសុពលភាពរយៈពេល 2.3.6 ឆ្នាំ ហើយនឹងរក្សាការគាំទ្រសម្រាប់ឧបករណ៍ Android ដែលចាប់ផ្តើមជាមួយកំណែ XNUMX ។

ទោះជាយ៉ាងណាក៏ដោយ វិញ្ញាបនបត្រកម្រិតមធ្យមថ្មីនេះមិនគ្របដណ្តប់លើប្រព័ន្ធកេរ្តិ៍ដំណែលជាច្រើនទៀតទេ។ ឧទាហរណ៍ នៅពេលដែលវិញ្ញាបនបត្រ DST Root CA X3 ឈប់ដំណើរការនៅថ្ងៃទី 30 ខែកញ្ញា វិញ្ញាបនបត្រ Let's Encrypt នឹងលែងត្រូវបានទទួលយកនៅលើកម្មវិធីបង្កប់ និងប្រព័ន្ធប្រតិបត្តិការដែលមិនគាំទ្រ ដែលទាមទារការបន្ថែមវិញ្ញាបនបត្រ ISRG Root X1 ដោយដៃទៅកន្លែងផ្ទុកវិញ្ញាបនបត្រ root ដើម្បីធានាការជឿទុកចិត្តលើវិញ្ញាបនបត្រ Let's Encrypt . បញ្ហានឹងបង្ហាញខ្លួនឯងនៅក្នុង៖

• OpenSSL រហូតដល់សាខា 1.0.2 រួមបញ្ចូល (ការថែទាំសាខា 1.0.2 ត្រូវបានបញ្ឈប់ក្នុងខែធ្នូ ឆ្នាំ 2019);
• NSS < 3.26;
• ចាវ៉ា 8 < 8u141, Java 7 < 7u151;
• វីនដូ < XP SP3;
• macOS < 10.12.1;
• ប្រព័ន្ធប្រតិបត្តិការ iOS < 10 (iPhone < 5);
• ប្រព័ន្ធប្រតិបត្តិការ Android < 2.3.6;
• Mozilla Firefox < 50;
• អ៊ូប៊ុនទូ < 16.04;
• ដេបៀន < ៨.

ក្នុងករណី OpenSSL 1.0.2 បញ្ហាគឺបណ្តាលមកពីកំហុសដែលរារាំងវិញ្ញាបនបត្រដែលមានហត្ថលេខាឆ្លងពីដំណើរការត្រឹមត្រូវ ប្រសិនបើវិញ្ញាបនបត្រឫសគល់មួយក្នុងចំណោមវិញ្ញាបនបត្រដែលប្រើសម្រាប់ការចុះហត្ថលេខាផុតកំណត់ ទោះបីជាខ្សែសង្វាក់នៃការទុកចិត្តផ្សេងទៀតនៅតែមានសុពលភាពក៏ដោយ។ បញ្ហាបានកើតឡើងជាលើកដំបូងកាលពីឆ្នាំមុនបន្ទាប់ពីវិញ្ញាបនបត្រ AddTrust ដែលប្រើដើម្បីចុះហត្ថលេខាលើវិញ្ញាបនបត្រពីអាជ្ញាធរវិញ្ញាបនប័ត្រ Sectigo (Comodo) លែងប្រើហើយ។ ចំណុចសំខាន់នៃបញ្ហាគឺថា OpenSSL បានញែកវិញ្ញាបនបត្រជាខ្សែសង្វាក់លីនេអ៊ែរ ខណៈពេលដែលយោងទៅតាម RFC 4158 វិញ្ញាបនបត្រអាចតំណាងឱ្យក្រាហ្វរាងជារង្វង់ដែលបានចែកចាយដោយផ្ទាល់ជាមួយនឹងយុថ្កាទុកចិត្តជាច្រើនដែលចាំបាច់ត្រូវយកមកពិចារណា។

អ្នកប្រើប្រាស់នៃការចែកចាយចាស់ដែលមានមូលដ្ឋានលើ OpenSSL 1.0.2 ត្រូវបានផ្តល់ជូនដំណោះស្រាយចំនួនបីដើម្បីដោះស្រាយបញ្ហា៖

• បានដកវិញ្ញាបនបត្រឫសគល់ IdenTrust DST Root CA X3 ដោយដៃ ហើយបានដំឡើងវិញ្ញាបនបត្រឫសគល់ ISRG Root X1 ដាច់ដោយឡែក (មិនចុះហត្ថលេខាលើការឆ្លង) ។
• នៅពេលដំណើរការពាក្យបញ្ជា openssl verify និង s_client អ្នកអាចបញ្ជាក់ជម្រើស "--trusted_first" ។
• ប្រើនៅលើម៉ាស៊ីនមេនូវវិញ្ញាបនបត្រដែលបញ្ជាក់ដោយវិញ្ញាបនបត្រឫសគល់ដាច់ដោយឡែក SRG Root X1 ដែលមិនមានហត្ថលេខាឆ្លង។ វិធីសាស្រ្តនេះនឹងនាំឱ្យបាត់បង់ភាពឆបគ្នាជាមួយអតិថិជន Android ចាស់ៗ។

លើសពីនេះ យើងអាចកត់សម្គាល់ថាគម្រោង Let's Encrypt បានយកឈ្នះលើចំណុចសំខាន់នៃវិញ្ញាបនបត្រដែលបានបង្កើតចំនួនពីរពាន់លាន។ ជោគជ័យមួយពាន់លានត្រូវបានឈានដល់ក្នុងខែកុម្ភៈឆ្នាំមុន។ វិញ្ញាបនបត្រថ្មី 2.2-2.4 លានត្រូវបានបង្កើតជារៀងរាល់ថ្ងៃ។ ចំនួនវិញ្ញាបនបត្រសកម្មគឺ 192 លាន (វិញ្ញាបនបត្រមានសុពលភាពរយៈពេលបីខែ) និងគ្របដណ្តប់ប្រហែល 260 លានដែន (195 លានដែនត្រូវបានគ្របដណ្តប់កាលពីឆ្នាំមុន 150 លានកាលពី 60 ឆ្នាំមុន 82 លានកាលពីបីឆ្នាំមុន) ។ យោងតាមស្ថិតិពីសេវាកម្ម Firefox Telemetry ការចែករំលែកជាសកលនៃការស្នើសុំទំព័រតាមរយៈ HTTPS គឺ 81% (ឆ្នាំមុន - 77%, ពីរឆ្នាំមុន - 69%, បីឆ្នាំមុន - 58%, បួនឆ្នាំមុន - XNUMX%) ។

ប្រភព: opennet.ru