ឃ្លាំង NPM កំពុងបដិសេធការគាំទ្រសម្រាប់ TLS 1.0 និង 1.1

GitHub បានសម្រេចចិត្តបញ្ឈប់ការគាំទ្រសម្រាប់ TLS 1.0 និង 1.1 នៅក្នុងឃ្លាំងកញ្ចប់ NPM និងគេហទំព័រទាំងអស់ដែលពាក់ព័ន្ធជាមួយកម្មវិធីគ្រប់គ្រងកញ្ចប់ NPM រួមទាំង npmjs.com ផងដែរ។ ចាប់ពីថ្ងៃទី 4 ខែតុលា ការភ្ជាប់ទៅឃ្លាំង រួមទាំងការដំឡើងកញ្ចប់នឹងតម្រូវឱ្យអតិថិជនដែលគាំទ្រយ៉ាងហោចណាស់ TLS 1.2 ។ នៅលើ GitHub ខ្លួនវា ការគាំទ្រសម្រាប់ TLS 1.0/1.1 ត្រូវបានបញ្ឈប់ឡើងវិញនៅក្នុងខែកុម្ភៈ ឆ្នាំ 2018។ ការជម្រុញនេះត្រូវបានគេនិយាយថាមានការព្រួយបារម្ភចំពោះសុវត្ថិភាពនៃសេវាកម្មរបស់ខ្លួន និងការសម្ងាត់នៃទិន្នន័យអ្នកប្រើប្រាស់។ យោងតាម ​​GitHub ប្រហែល 99% នៃសំណើទៅកាន់ឃ្លាំង NPM ត្រូវបានធ្វើឡើងរួចហើយដោយប្រើ TLS 1.2 ឬ 1.3 ហើយ Node.js បានរួមបញ្ចូលការគាំទ្រសម្រាប់ TLS 1.2 ចាប់តាំងពីឆ្នាំ 2013 (ចាប់តាំងពីការចេញផ្សាយ 0.10) ដូច្នេះការផ្លាស់ប្តូរនឹងប៉ះពាល់តែផ្នែកតូចមួយនៃ អ្នកប្រើប្រាស់។

ចូរយើងចាំថាពិធីការ TLS 1.0 និង 1.1 ត្រូវបានចាត់ថ្នាក់ជាផ្លូវការថាជាបច្ចេកវិទ្យាដែលលែងប្រើហើយដោយ IETF (ក្រុមការងារវិស្វកម្មអ៊ីនធឺណិត)។ ការបញ្ជាក់ TLS 1.0 ត្រូវបានបោះពុម្ពផ្សាយក្នុងខែមករា ឆ្នាំ 1999 ។ ប្រាំពីរឆ្នាំក្រោយមក ការអាប់ដេត TLS 1.1 ត្រូវបានចេញផ្សាយជាមួយនឹងការកែលម្អសុវត្ថិភាពដែលទាក់ទងនឹងការបង្កើតវ៉ិចទ័រចាប់ផ្តើម និងទ្រនាប់។ ក្នុងចំណោមបញ្ហាចម្បងរបស់ TLS 1.0/1.1 គឺកង្វះនៃការគាំទ្រសម្រាប់ ciphers ទំនើប (ឧទាហរណ៍ ECDHE និង AEAD) និងវត្តមាននៅក្នុងការបញ្ជាក់នៃតម្រូវការដើម្បីគាំទ្រ ciphers ចាស់ ភាពជឿជាក់ដែលត្រូវបានចោទសួរនៅដំណាក់កាលបច្ចុប្បន្ននៃ ការអភិវឌ្ឍន៍បច្ចេកវិទ្យាកុំព្យូទ័រ (ឧទាហរណ៍ ការគាំទ្រ TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA តម្រូវឱ្យពិនិត្យភាពត្រឹមត្រូវ និងការផ្ទៀងផ្ទាត់ប្រើប្រាស់ MD5 និង SHA-1)។ ការគាំទ្រសម្រាប់ក្បួនដោះស្រាយហួសសម័យបាននាំឱ្យមានការវាយប្រហារដូចជា ROBOT, DROWN, BEAST, Logjam និង FREAK ។ ទោះជាយ៉ាងណាក៏ដោយ បញ្ហាទាំងនេះមិនត្រូវបានពិចារណាដោយផ្ទាល់អំពីភាពងាយរងគ្រោះនៃពិធីការ ហើយត្រូវបានដោះស្រាយនៅកម្រិតនៃការអនុវត្តរបស់វា។ ពិធីការ TLS 1.0/1.1 ខ្លួនពួកគេខ្វះភាពងាយរងគ្រោះដែលអាចត្រូវបានកេងប្រវ័ញ្ចដើម្បីអនុវត្តការវាយប្រហារជាក់ស្តែង។

ប្រភព: opennet.ru