សម្រាប់កម្មវិធីរុករកតាមអ៊ីនធឺណិតដើម្បីផ្ទៀងផ្ទាត់គេហទំព័រ វាបង្ហាញខ្លួនឯងជាមួយនឹងខ្សែសង្វាក់វិញ្ញាបនបត្រត្រឹមត្រូវ។ ខ្សែសង្វាក់ធម្មតាត្រូវបានបង្ហាញខាងលើ ហើយអាចមានវិញ្ញាបនបត្រកម្រិតមធ្យមច្រើនជាងមួយ។ ចំនួនវិញ្ញាបនបត្រអប្បបរមានៅក្នុងខ្សែសង្វាក់ដែលមានសុពលភាពគឺបី។

វិញ្ញាបនបត្រ root គឺជាបេះដូងនៃអាជ្ញាធរវិញ្ញាបនបត្រ។ វាត្រូវបានបង្កើតឡើងតាមព្យញ្ជនៈនៅក្នុង OS ឬកម្មវិធីរុករករបស់អ្នក វាមានវត្តមាននៅលើឧបករណ៍របស់អ្នក។ វា​មិន​អាច​ត្រូវ​បាន​ផ្លាស់​ប្តូ​រ​ពី​ខាង​ម៉ាស៊ីន​បម្រើ​។ ការអាប់ដេតដោយបង្ខំនៃ OS ឬកម្មវិធីបង្កប់នៅលើឧបករណ៍គឺត្រូវបានទាមទារ។

អ្នកឯកទេសសន្តិសុខ Scott Helme គាត់បានសរសេរថាបញ្ហាចម្បងៗនឹងកើតឡើងជាមួយអាជ្ញាធរវិញ្ញាបនប័ត្រ Let's Encrypt ពីព្រោះសព្វថ្ងៃនេះវាគឺជា CA ដ៏ពេញនិយមបំផុតនៅលើអ៊ីនធឺណិត ហើយវិញ្ញាបនបត្រឫសគល់របស់វានឹងមិនល្អក្នុងពេលឆាប់ៗនេះ។ ការផ្លាស់ប្តូរ Let's Encrypt root គ្រោងធ្វើនៅថ្ងៃទី ៨ ខែកក្កដា ឆ្នាំ ២០២០.

វិញ្ញាបនបត្រចុងក្រោយ និងមធ្យមនៃអាជ្ញាធរបញ្ជាក់ (CA) ត្រូវបានបញ្ជូនទៅម៉ាស៊ីនភ្ញៀវពីម៉ាស៊ីនមេ ហើយវិញ្ញាបនបត្រឫសគល់គឺមកពីម៉ាស៊ីនភ្ញៀវ មានរួចហើយដូច្នេះជាមួយនឹងបណ្តុំនៃវិញ្ញាបនបត្រនេះ គេអាចបង្កើតខ្សែសង្វាក់ និងផ្ទៀងផ្ទាត់គេហទំព័រមួយ។

បញ្ហាគឺថាវិញ្ញាបនបត្រនីមួយៗមានកាលបរិច្ឆេទផុតកំណត់ បន្ទាប់ពីនោះវាត្រូវតែជំនួស។ ឧទាហរណ៍ ចាប់ពីថ្ងៃទី 1 ខែកញ្ញា ឆ្នាំ 2020 ពួកគេគ្រោងនឹងដាក់កម្រិតលើរយៈពេលសុពលភាពនៃវិញ្ញាបនបត្រ TLS ម៉ាស៊ីនមេនៅក្នុងកម្មវិធីរុករក Safari អតិបរមា 398 ថ្ងៃ។.

នេះមានន័យថាយើងទាំងអស់គ្នានឹងត្រូវជំនួសវិញ្ញាបនបត្រម៉ាស៊ីនមេរបស់យើងយ៉ាងហោចណាស់រៀងរាល់ 12 ខែម្តង។ ការដាក់កម្រិតនេះអនុវត្តចំពោះតែវិញ្ញាបនបត្រម៉ាស៊ីនមេប៉ុណ្ណោះ។ មិនមាន អនុវត្តចំពោះវិញ្ញាបនបត្រ CA ជា root ។

វិញ្ញាបនបត្រ CA ត្រូវបានគ្រប់គ្រងដោយសំណុំនៃច្បាប់ផ្សេងៗគ្នា ដូច្នេះហើយមានដែនកំណត់សុពលភាពខុសៗគ្នា។ វាជារឿងធម្មតាណាស់ក្នុងការស្វែងរកវិញ្ញាបនបត្រកម្រិតមធ្យមដែលមានសុពលភាព 5 ឆ្នាំ និងវិញ្ញាបនបត្រឫសគល់ដែលមានអាយុកាលសេវាកម្មសូម្បីតែ 25 ឆ្នាំ!

ជាធម្មតាមិនមានបញ្ហាជាមួយវិញ្ញាបនបត្រកម្រិតមធ្យមទេ ព្រោះវាត្រូវបានផ្គត់ផ្គង់ទៅឱ្យអតិថិជនដោយម៉ាស៊ីនមេ ដែលខ្លួនវាផ្លាស់ប្តូរវិញ្ញាបនបត្រផ្ទាល់ខ្លួនរបស់វាញឹកញាប់ជាង ដូច្នេះវាគ្រាន់តែជំនួសវិញ្ញាបនបត្រកម្រិតមធ្យមនៅក្នុងដំណើរការប៉ុណ្ណោះ។ វាងាយស្រួលណាស់ក្នុងការជំនួសវាជាមួយនឹងវិញ្ញាបនបត្រម៉ាស៊ីនមេ មិនដូចវិញ្ញាបនបត្រ root CA ទេ។

ដូចដែលយើងបាននិយាយរួចមកហើយថា root CA ត្រូវបានបង្កើតឡើងដោយផ្ទាល់ទៅក្នុងឧបករណ៍អតិថិជនខ្លួនវាទៅក្នុង OS កម្មវិធីរុករកតាមអ៊ីនធឺណិត ឬកម្មវិធីផ្សេងទៀត។ ការផ្លាស់ប្តូរ root CA គឺហួសពីការគ្រប់គ្រងរបស់គេហទំព័រ។ នេះតម្រូវឱ្យមានការអាប់ដេតនៅលើម៉ាស៊ីនភ្ញៀវ ថាតើវាជា OS ឬការធ្វើបច្ចុប្បន្នភាពកម្មវិធី។

root CAs ខ្លះមានរយៈពេលយូរណាស់មកហើយ យើងកំពុងនិយាយអំពី 20-25 ឆ្នាំ។ មិនយូរប៉ុន្មាន CAs ជា root ចាស់ជាងគេមួយចំនួននឹងជិតដល់ទីបញ្ចប់នៃជីវិតធម្មជាតិរបស់ពួកគេ ពេលវេលារបស់ពួកគេគឺជិតអស់ហើយ។ សម្រាប់ពួកយើងភាគច្រើន វានឹងមិនមានបញ្ហាអ្វីទាល់តែសោះ ពីព្រោះ CAs បានបង្កើតវិញ្ញាបនបត្រឫសគល់ថ្មី ហើយពួកគេត្រូវបានចែកចាយជុំវិញពិភពលោកនៅក្នុង OS និងការអាប់ដេតកម្មវិធីរុករកតាមអ៊ីនធឺណិតអស់រយៈពេលជាច្រើនឆ្នាំ។ ប៉ុន្តែប្រសិនបើនរណាម្នាក់មិនបានអាប់ដេតប្រព័ន្ធប្រតិបត្តិការ ឬកម្មវិធីរុករកតាមអ៊ីនធឺណិតរបស់ពួកគេក្នុងរយៈពេលយូរនោះ វាជាបញ្ហាមួយប្រភេទ។

ស្ថានភាពនេះបានកើតឡើងនៅថ្ងៃទី ៣០ ខែឧសភា ឆ្នាំ ២០២០ វេលាម៉ោង ១០:៤៨:៣៨ នាទី GMT ។ នេះគឺជាពេលវេលាពិតប្រាកដ វិញ្ញាបនបត្រឫស AddTrust រលួយ ពីអាជ្ញាធរវិញ្ញាបនប័ត្រ Comodo (Sectigo) ។

វា​ត្រូវ​បាន​ប្រើ​សម្រាប់​ការ​ចុះហត្ថលេខា​ឆ្លង​កាត់​ដើម្បី​ធានា​ឱ្យ​បាន​នូវ​ភាព​ឆបគ្នា​ជាមួយ​នឹង​ឧបករណ៍​ចាស់​ដែល​មិន​មាន​វិញ្ញាបនបត្រ​ឫសគល់ USERTrust ថ្មី​នៅ​ក្នុង​ហាង​របស់​ពួកគេ។

ជាអកុសល បញ្ហាបានកើតឡើងមិនត្រឹមតែនៅក្នុងកម្មវិធីរុករកចាស់ប៉ុណ្ណោះទេ ប៉ុន្តែក៏មាននៅក្នុងម៉ាស៊ីនភ្ញៀវដែលមិនមែនជាកម្មវិធីរុករកដែលមានមូលដ្ឋានលើ OpenSSL 1.0.x, LibreSSL និង gnuTLS. ឧទាហរណ៍នៅក្នុងប្រអប់ set-top ឆ្នាំ, សេវាកម្ម ហឺរ៉ូគូនៅក្នុង Fortinet កម្មវិធី Chargify នៅលើវេទិកា .NET Core 2.0 សម្រាប់ Linux និង ជាច្រើនទៀត.

វាត្រូវបានសន្មត់ថាបញ្ហានឹងប៉ះពាល់តែប្រព័ន្ធចាស់ (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9 ។ល។) ចាប់តាំងពីកម្មវិធីរុករកទំនើបអាចប្រើវិញ្ញាបនបត្រឫសគល់ USERTRust ទីពីរ។ ប៉ុន្តែតាមពិត ការបរាជ័យបានចាប់ផ្តើមនៅក្នុងសេវាកម្មគេហទំព័ររាប់រយដែលប្រើបណ្ណាល័យ OpenSSL 1.0.x និង GnuTLS ឥតគិតថ្លៃ។ ការតភ្ជាប់ដែលមានសុវត្ថិភាពមិនអាចបង្កើតបានទៀតទេជាមួយនឹងសារកំហុសដែលបង្ហាញថាវិញ្ញាបនបត្រហួសសម័យហើយ។

បន្ទាប់ - តោះអ៊ិនគ្រីប

ឧទាហរណ៍ដ៏ល្អមួយទៀតនៃការផ្លាស់ប្តូរ root CA នាពេលខាងមុខគឺសិទ្ធិអនុញ្ញាតវិញ្ញាបនបត្រ Let's Encrypt ។ ច្រើនទៀត ក្នុងខែមេសា ឆ្នាំ 2019 ពួកគេមានគម្រោងប្តូរពីខ្សែសង្វាក់ Identrust ទៅខ្សែសង្វាក់ ISRG Root ផ្ទាល់របស់ពួកគេ ប៉ុន្តែនេះគឺ មិនបានកើតឡើងទេ.

Let's Encrypt បាននិយាយនៅក្នុងសេចក្តីថ្លែងការណ៍មួយថា "ដោយសារតែមានការព្រួយបារម្ភអំពីកង្វះនៃការទទួលយកឫស ISRG នៅលើឧបករណ៍ Android យើងបានសម្រេចចិត្តផ្លាស់ប្តូរកាលបរិច្ឆេទនៃការប្តូរឫសដើមពីថ្ងៃទី 8 ខែកក្កដា ឆ្នាំ 2019 ដល់ថ្ងៃទី 8 ខែកក្កដា ឆ្នាំ 2020" ។

កាលបរិច្ឆេទត្រូវតែត្រូវបានពន្យារពេលដោយសារបញ្ហាដែលហៅថា "ការបន្តពូជឫស" ឬច្បាស់ជាងនេះទៅទៀតនោះគឺ កង្វះនៃការបន្តពូជឫស នៅពេលដែល root CA មិនត្រូវបានចែកចាយយ៉ាងទូលំទូលាយនៅទូទាំងអតិថិជនទាំងអស់។

បច្ចុប្បន្ននេះ Let's Encrypt ប្រើវិញ្ញាបនបត្រកម្រិតមធ្យមដែលមានហត្ថលេខាឆ្លងដែនដែលភ្ជាប់ទៅ IdenTrust DST Root CA X3 ។ វិញ្ញាបនបត្រឫសគល់នេះត្រូវបានចេញមកវិញក្នុងខែកញ្ញា ឆ្នាំ 2000 ហើយផុតកំណត់នៅថ្ងៃទី 30 ខែកញ្ញា ឆ្នាំ 2021។ រហូតមកដល់ពេលនោះ Let's Encrypt មានគម្រោងផ្លាស់ប្តូរទៅកាន់ ISRG Root X1 ដែលបានចុះហត្ថលេខាដោយខ្លួនឯងផ្ទាល់។

ឫស ISRG ចេញផ្សាយនៅថ្ងៃទី 4 ខែមិថុនា ឆ្នាំ 2015 ។ បន្ទាប់ពីនេះដំណើរការនៃការអនុម័តរបស់ខ្លួនជាអាជ្ញាធរបញ្ជាក់បានចាប់ផ្ដើមដែលបានបញ្ចប់ 6 ខែសីហា 2018 នៃឆ្នាំ។. ចាប់ពីចំណុចនេះមក root CA មានសម្រាប់អតិថិជនទាំងអស់តាមរយៈប្រព័ន្ធប្រតិបត្តិការ ឬការធ្វើបច្ចុប្បន្នភាពកម្មវិធី។ អ្វីដែលអ្នកត្រូវធ្វើគឺដំឡើងការអាប់ដេត។

ប៉ុន្តែនោះជាបញ្ហា។

ប្រសិនបើទូរស័ព្ទដៃ ទូរទស្សន៍ ឬឧបករណ៍ផ្សេងទៀតរបស់អ្នកមិនត្រូវបានអាប់ដេតអស់រយៈពេលពីរឆ្នាំ តើវានឹងដឹងអំពីវិញ្ញាបនបត្រឫសគល់ ISRG Root X1 ថ្មីដោយរបៀបណា? ហើយប្រសិនបើអ្នកមិនដំឡើងវានៅលើប្រព័ន្ធទេ នោះឧបករណ៍របស់អ្នកនឹងធ្វើឱ្យវិញ្ញាបនបត្រម៉ាស៊ីនមេ Let's Encrypt មិនត្រឹមត្រូវទាំងអស់ ដរាបណា Let's Encrypt ប្តូរទៅជា root ថ្មី។ ហើយនៅក្នុងប្រព័ន្ធអេកូ Android មានឧបករណ៍ហួសសម័យជាច្រើនដែលមិនត្រូវបានអាប់ដេតក្នុងរយៈពេលយូរ។

ប្រព័ន្ធ​អេកូឡូស៊ី Android

នេះជាមូលហេតុដែលអនុញ្ញាតឱ្យការអ៊ិនគ្រីបពន្យាពេលផ្លាស់ទីទៅឫស ISRG របស់វា ហើយនៅតែប្រើកម្រិតមធ្យមដែលចុះទៅឫស IdenTrust ។ ប៉ុន្តែការផ្លាស់ប្តូរនឹងត្រូវធ្វើឡើងនៅក្នុងករណីណាមួយ។ ហើយកាលបរិច្ឆេទនៃការផ្លាស់ប្តូរជា root ត្រូវបានកំណត់ 8 ខែកក្កដាឆ្នាំ 2020.

ដើម្បីពិនិត្យមើលថា ISRG X1 root ត្រូវបានដំឡើងនៅលើឧបករណ៍របស់អ្នក (ទូរទស្សន៍ ប្រអប់ set-top ឬម៉ាស៊ីនភ្ញៀវផ្សេងទៀត) សូមបើកគេហទំព័រសាកល្បង https://valid-isrgrootx1.letsencrypt.org/. ប្រសិនបើគ្មានការព្រមានសុវត្ថិភាពលេចឡើងទេ នោះអ្វីៗទាំងអស់ជាធម្មតាល្អ។

Let's Encrypt មិន​មែន​ជា​ក្រុមហ៊ុន​តែ​មួយ​គត់​ដែល​ប្រឈម​មុខ​នឹង​ការ​ធ្វើ​ចំណាក​ស្រុក​ទៅ root ថ្មី។ ការសរសេរកូដសម្ងាត់នៅលើអ៊ីនធឺណិតបានចាប់ផ្តើមប្រើជាង 20 ឆ្នាំមុន ដូច្នេះឥឡូវនេះគឺជាពេលដែលវិញ្ញាបនបត្រ root ជាច្រើនជិតផុតកំណត់ហើយ។

ម្ចាស់ទូរទស្សន៍ឆ្លាតវៃដែលមិនបានអាប់ដេតកម្មវិធី Smart TV អស់ជាច្រើនឆ្នាំអាចជួបប្រទះបញ្ហានេះ។ ឧទាហរណ៍ ឫស GlobalSign ថ្មី។ R5 ឫស ត្រូវបានចេញផ្សាយនៅក្នុងឆ្នាំ 2012 ហើយបន្ទាប់ពីទូរទស្សន៍ Smart TV ចាស់ៗមួយចំនួនមិនអាចបង្កើតខ្សែសង្វាក់របស់វាបានទេ ដោយសារពួកគេមិនមាន root CA នេះ។ ជាពិសេស អតិថិជនទាំងនេះមិនអាចបង្កើតការតភ្ជាប់សុវត្ថិភាពទៅកាន់គេហទំព័រ bbc.co.uk បានទេ។ ដើម្បីដោះស្រាយបញ្ហា អ្នកគ្រប់គ្រង BBC ត្រូវងាកទៅរកល្បិចមួយ៖ ពួកគេ។ យើងបានបង្កើតខ្សែសង្វាក់ជំនួសសម្រាប់អតិថិជនទាំងនេះ តាមរយៈវិញ្ញាបនបត្រកម្រិតមធ្យមបន្ថែម ដោយប្រើឫសចាស់ R3 ឫស и R1 ឫសដែល​មិន​ទាន់​រលួយ។

www.bbc.co.uk (Leaf) GlobalSign ECC OV SSL CA 2018 (កម្រិតមធ្យម) GlobalSign Root CA - R5 (កម្រិតមធ្យម) GlobalSign Root CA - R3 (កម្រិតមធ្យម)

នេះគឺជាដំណោះស្រាយបណ្តោះអាសន្ន។ បញ្ហានឹងមិនរលាយបាត់ឡើយ លុះត្រាតែអ្នកធ្វើបច្ចុប្បន្នភាពកម្មវិធីអតិថិជន។ ទូរទស្សន៍ឆ្លាតវៃគឺជាកុំព្យូទ័រដែលមានមុខងារកំណត់ដែលដំណើរការដោយលីនុច។ ហើយបើគ្មានការអាប់ដេតទេ វិញ្ញាបនបត្រឫសគល់របស់វានឹងត្រូវរលួយដោយជៀសមិនរួច។

នេះអនុវត្តចំពោះឧបករណ៍ទាំងអស់ មិនត្រឹមតែទូរទស្សន៍ប៉ុណ្ណោះទេ។ ប្រសិនបើអ្នកមានឧបករណ៍ណាមួយដែលភ្ជាប់ទៅអ៊ីនធឺណិត ហើយដែលត្រូវបានផ្សព្វផ្សាយថាជាឧបករណ៍ "ឆ្លាតវៃ" នោះបញ្ហាដែលមានវិញ្ញាបនបត្ររលួយគឺពិតជាទាក់ទងនឹងវា។ ប្រសិនបើឧបករណ៍មិនត្រូវបានអាប់ដេតទេនោះ ហាង root CA នឹងហួសសម័យតាមពេលវេលា ហើយនៅទីបំផុតបញ្ហានឹងលេចចេញមក។ តើ​បញ្ហា​កើត​ឡើង​ឆាប់​ប៉ុនណា​គឺ​អាស្រ័យ​លើ​ពេល​ដែល​ឃ្លាំង​ឫស​ត្រូវ​បាន​ធ្វើ​បច្ចុប្បន្នភាព​ចុង​ក្រោយ។ វាអាចមានរយៈពេលជាច្រើនឆ្នាំមុនពេលកាលបរិច្ឆេទចេញលក់ពិតប្រាកដនៃឧបករណ៍នេះ។

និយាយអីញ្ចឹង នេះជាបញ្ហាដែលវេទិកាប្រព័ន្ធផ្សព្វផ្សាយធំៗមួយចំនួនមិនអាចប្រើអាជ្ញាធរវិញ្ញាបនបត្រស្វ័យប្រវត្តិទំនើបដូចជា Let's Encrypt សរសេរ Scott Helme ។ ពួកវាមិនស័ក្តិសមសម្រាប់ទូរទស្សន៍ឆ្លាតវៃទេ ហើយចំនួនឫសគឺតូចពេកក្នុងការធានាការគាំទ្រវិញ្ញាបនបត្រនៅលើឧបករណ៍ចាស់។ បើមិនដូច្នេះទេ ទូរទស្សន៍នឹងមិនអាចបើកដំណើរការសេវាកម្មស្ទ្រីមទំនើបបានទេ។

ឧប្បត្តិហេតុចុងក្រោយជាមួយ AddTrust បានបង្ហាញថាសូម្បីតែក្រុមហ៊ុន IT ធំ ៗ ក៏មិនបានរៀបចំសម្រាប់ការពិតដែលថាវិញ្ញាបនបត្រឫសគល់ផុតកំណត់។

មានដំណោះស្រាយតែមួយគត់ចំពោះបញ្ហា - ធ្វើបច្ចុប្បន្នភាព។ អ្នកបង្កើតឧបករណ៍ឆ្លាតវៃត្រូវតែផ្តល់យន្តការសម្រាប់ធ្វើបច្ចុប្បន្នភាពកម្មវិធី និងវិញ្ញាបនបត្រឫសគល់ជាមុន។ ម្យ៉ាងវិញទៀត វាមិនមានផលចំណេញសម្រាប់ក្រុមហ៊ុនផលិតក្នុងការធានានូវប្រតិបត្តិការនៃឧបករណ៍របស់ពួកគេបន្ទាប់ពីរយៈពេលធានាផុតកំណត់នោះទេ។

ប្រភព: www.habr.com