ສໍາລັບຕົວທ່ອງເວັບເພື່ອຢືນຢັນເວັບໄຊທ໌, ມັນສະແດງຕົວຂອງມັນເອງດ້ວຍລະບົບຕ່ອງໂສ້ໃບຢັ້ງຢືນທີ່ຖືກຕ້ອງ. ລະບົບຕ່ອງໂສ້ປົກກະຕິແມ່ນສະແດງຢູ່ຂ້າງເທິງ, ແລະອາດຈະມີຫຼາຍກວ່າຫນຶ່ງໃບຢັ້ງຢືນລະດັບກາງ. ຈຳນວນໃບຮັບຮອງຂັ້ນຕ່ຳໃນລະບົບຕ່ອງໂສ້ທີ່ຖືກຕ້ອງແມ່ນສາມອັນ.

ໃບຢັ້ງຢືນຮາກແມ່ນຫົວໃຈຂອງເຈົ້າຫນ້າທີ່ໃບຢັ້ງຢືນ. ມັນຖືກສ້າງຂຶ້ນໃນ OS ຫຼືຕົວທ່ອງເວັບຂອງທ່ານ, ມັນມີຢູ່ໃນອຸປະກອນຂອງທ່ານ. ມັນບໍ່ສາມາດປ່ຽນແປງໄດ້ຈາກຂ້າງເຊີບເວີ. ຕ້ອງມີການອັບເດດ OS ຫຼືເຟີມແວແບບບັງຄັບຢູ່ໃນອຸປະກອນ.

ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພ Scott Helme ພຣະອົງໄດ້ຂຽນ, ວ່າບັນຫາຕົ້ນຕໍຈະເກີດຂື້ນກັບເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນ Let's Encrypt, ເພາະວ່າມື້ນີ້ມັນເປັນ CA ທີ່ນິຍົມທີ່ສຸດໃນອິນເຕີເນັດ, ແລະໃບຢັ້ງຢືນຮາກຂອງມັນຈະ "rotate" ໃນໄວໆນີ້. ການປ່ຽນແປງການເຂົ້າລະຫັດຂອງຮາກ ກຳນົດວັນທີ 8 ກໍລະກົດ 2020.

ໃບຢັ້ງຢືນການສິ້ນສຸດແລະລະດັບກາງຂອງອົງການການຢັ້ງຢືນ (CA) ຖືກສົ່ງໃຫ້ລູກຄ້າຈາກເຄື່ອງແມ່ຂ່າຍ, ແລະໃບຢັ້ງຢືນຮາກແມ່ນມາຈາກລູກຄ້າ. ມີແລ້ວ, ດັ່ງນັ້ນດ້ວຍການລວບລວມໃບຢັ້ງຢືນນີ້, ຫນຶ່ງສາມາດສ້າງລະບົບຕ່ອງໂສ້ແລະການກວດສອບເວັບໄຊທ໌ໄດ້.

ບັນຫາແມ່ນວ່າແຕ່ລະໃບຢັ້ງຢືນມີວັນຫມົດອາຍຸ, ຫຼັງຈາກນັ້ນມັນຈໍາເປັນຕ້ອງປ່ຽນແທນ. ຕົວຢ່າງ, ຈາກວັນທີ 1 ກັນຍາ 2020, ພວກເຂົາເຈົ້າວາງແຜນທີ່ຈະແນະນໍາການຈໍາກັດໄລຍະເວລາທີ່ຖືກຕ້ອງຂອງໃບຢັ້ງຢືນ TLS ຂອງເຄື່ອງແມ່ຂ່າຍໃນຕົວທ່ອງເວັບ Safari. ສູງສຸດ 398 ມື້.

ນີ້ຫມາຍຄວາມວ່າພວກເຮົາທັງຫມົດຈະຕ້ອງປ່ຽນໃບຢັ້ງຢືນເຄື່ອງແມ່ຂ່າຍຂອງພວກເຮົາຢ່າງຫນ້ອຍທຸກໆ 12 ເດືອນ. ຂໍ້ຈໍາກັດນີ້ໃຊ້ກັບໃບຢັ້ງຢືນເຊີບເວີເທົ່ານັ້ນ; ມັນ ບໍ່ ໃຊ້ກັບໃບຮັບຮອງ CA ຮາກ.

ໃບຮັບຮອງ CA ຖືກຄວບຄຸມໂດຍກົດລະບຽບທີ່ແຕກຕ່າງກັນ ແລະດັ່ງນັ້ນຈຶ່ງມີຂໍ້ຈຳກັດຄວາມຖືກຕ້ອງແຕກຕ່າງກັນ. ມັນເປັນເລື່ອງທົ່ວໄປຫຼາຍທີ່ຈະຊອກຫາໃບຢັ້ງຢືນລະດັບປານກາງທີ່ມີໄລຍະເວລາທີ່ຖືກຕ້ອງຂອງ 5 ປີແລະໃບຢັ້ງຢືນຮາກທີ່ມີອາຍຸການບໍລິການເຖິງແມ່ນ 25 ປີ!

ປົກກະຕິແລ້ວບໍ່ມີບັນຫາກັບໃບຢັ້ງຢືນລະດັບປານກາງ, ເພາະວ່າພວກມັນຖືກສະຫນອງໃຫ້ແກ່ລູກຄ້າໂດຍເຄື່ອງແມ່ຂ່າຍ, ເຊິ່ງຕົວມັນເອງປ່ຽນໃບຢັ້ງຢືນຂອງຕົນເອງເລື້ອຍໆ, ດັ່ງນັ້ນມັນພຽງແຕ່ປ່ຽນແທນລະດັບກາງໃນຂະບວນການ. ມັນຂ້ອນຂ້າງງ່າຍທີ່ຈະທົດແທນມັນພ້ອມກັບໃບຢັ້ງຢືນເຊີຟເວີ, ບໍ່ຄືກັບໃບຢັ້ງຢືນ CA ຮາກ.

ດັ່ງທີ່ພວກເຮົາໄດ້ກ່າວແລ້ວ, ຮາກ CA ຖືກສ້າງຂຶ້ນໂດຍກົງໃນອຸປະກອນລູກຄ້າເອງ, ເຂົ້າໄປໃນ OS, ຕົວທ່ອງເວັບຫຼືຊອບແວອື່ນໆ. ການປ່ຽນແປງຮາກ CA ແມ່ນເກີນການຄວບຄຸມຂອງເວັບໄຊທ໌. ອັນນີ້ຮຽກຮ້ອງໃຫ້ມີການອັບເດດກ່ຽວກັບລູກຂ່າຍ, ບໍ່ວ່າຈະເປັນການອັບເດດ OS ຫຼືຊອບແວ.

ບາງຮາກ CAs ໄດ້ປະມານເປັນເວລາດົນນານ, ພວກເຮົາກໍາລັງລົມກັນປະມານ 20-25 ປີ. ໃນໄວໆນີ້ບາງສ່ວນຂອງ CAs ຮາກທີ່ເກົ່າແກ່ທີ່ສຸດຈະເຂົ້າຫາຈຸດສິ້ນສຸດຂອງຊີວິດທໍາມະຊາດ, ເວລາຂອງພວກເຂົາເກືອບຫມົດແລ້ວ. ສໍາລັບພວກເຮົາສ່ວນໃຫຍ່ນີ້ຈະບໍ່ເປັນບັນຫາຫຍັງເລີຍເພາະວ່າ CAs ໄດ້ສ້າງໃບຢັ້ງຢືນຮາກໃຫມ່ແລະພວກມັນໄດ້ຖືກແຈກຢາຍທົ່ວໂລກໃນ OS ແລະການປັບປຸງຕົວທ່ອງເວັບສໍາລັບເວລາຫຼາຍປີ. ແຕ່ຖ້າຜູ້ໃດຜູ້ ໜຶ່ງ ບໍ່ໄດ້ອັບເດດ OS ຫຼື browser ຂອງພວກເຂົາເປັນເວລາດົນນານ, ມັນກໍ່ເປັນບັນຫາ.

ເຫດການນີ້ເກີດຂຶ້ນໃນວັນທີ 30 ພຶດສະພາ 2020 ເວລາ 10:48:38 ໂມງ. ນີ້ແມ່ນເວລາທີ່ແນ່ນອນ ໃບຢັ້ງຢືນຮາກ AddTrust ເນົ່າເປື່ອຍ ຈາກອົງການການຢັ້ງຢືນ Comodo (Sectigo).

ມັນຖືກນໍາໃຊ້ສໍາລັບການເຊັນຊື່ຂ້າມເພື່ອຮັບປະກັນຄວາມເຂົ້າກັນໄດ້ກັບອຸປະກອນເກົ່າທີ່ບໍ່ມີໃບຢັ້ງຢືນຮາກ USERTrust ໃຫມ່ໃນຮ້ານຂອງພວກເຂົາ.

ແຕ່ຫນ້າເສຍດາຍ, ບັນຫາເກີດຂື້ນບໍ່ພຽງແຕ່ຢູ່ໃນຕົວທ່ອງເວັບແບບເກົ່າ, ແຕ່ຍັງຢູ່ໃນລູກຄ້າທີ່ບໍ່ແມ່ນຕົວທ່ອງເວັບໂດຍອີງໃສ່ OpenSSL 1.0.x, LibreSSL ແລະ gnuTLS. ຕົວຢ່າງ, ໃນກ່ອງຕັ້ງເທິງ ປີ, ບໍລິການ Heroku, ໃນ Fortinet, Chargify applications, ໃນເວທີ .NET Core 2.0 ສໍາລັບ Linux ແລະ ອື່ນໆຈໍານວນຫຼາຍ.

ມັນສົມມຸດວ່າບັນຫາຈະສົ່ງຜົນກະທົບຕໍ່ລະບົບມໍລະດົກເທົ່ານັ້ນ (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, ແລະອື່ນໆ), ເນື່ອງຈາກວ່າຕົວທ່ອງເວັບທີ່ທັນສະໄຫມສາມາດນໍາໃຊ້ໃບຢັ້ງຢືນຮາກ USERTRust ທີສອງ. ແຕ່ຄວາມຈິງແລ້ວ, ຄວາມລົ້ມເຫລວໄດ້ເລີ່ມຕົ້ນໃນຫຼາຍຮ້ອຍບໍລິການເວັບທີ່ໃຊ້ OpenSSL 1.0.x ແລະ GnuTLS libraries ຟຣີ. ການ​ເຊື່ອມ​ຕໍ່​ທີ່​ປອດ​ໄພ​ບໍ່​ສາ​ມາດ​ສ້າງ​ຕັ້ງ​ຂຶ້ນ​ໄດ້​ອີກ​ດ້ວຍ​ຂໍ້​ຄວາມ​ຜິດ​ພາດ​ທີ່​ຊີ້​ໃຫ້​ເຫັນ​ວ່າ​ໃບ​ຢັ້ງ​ຢືນ​ທີ່​ເກົ່າ​ແກ່​.

ຕໍ່ໄປ - ໃຫ້ເຂົ້າລະຫັດ

ຕົວຢ່າງທີ່ດີອີກອັນຫນຶ່ງຂອງການປ່ຽນແປງຮາກ CA ທີ່ຈະມາເຖິງແມ່ນສິດອໍານາດໃບຢັ້ງຢືນ Let's Encrypt. ເພີ່ມເຕີມ ໃນເດືອນເມສາ 2019 ພວກເຂົາເຈົ້າວາງແຜນທີ່ຈະປ່ຽນຈາກລະບົບຕ່ອງໂສ້ Identrust ໄປສູ່ລະບົບຕ່ອງໂສ້ຮາກ ISRG ຂອງຕົນເອງ, ແຕ່ນີ້ ບໍ່ໄດ້ເກີດຂຶ້ນ.

"ເນື່ອງຈາກຄວາມກັງວົນກ່ຽວກັບການຂາດການຮັບຮອງເອົາຮາກ ISRG ໃນອຸປະກອນ Android, ພວກເຮົາໄດ້ຕັດສິນໃຈທີ່ຈະຍ້າຍວັນທີການປ່ຽນຮາກເດີມຈາກ 8 ກໍລະກົດ 2019 ຫາ 8 ກໍລະກົດ 2020," Let's Encrypt ກ່າວໃນຖະແຫຼງການ.

ວັນທີຕ້ອງຖືກເລື່ອນອອກເນື່ອງຈາກບັນຫາທີ່ເອີ້ນວ່າ "ການຂະຫຍາຍພັນຂອງຮາກ", ຫຼືຫຼາຍທີ່ຊັດເຈນ, ການຂາດການຂະຫຍາຍພັນຂອງຮາກ, ເມື່ອຮາກ CA ບໍ່ໄດ້ຖືກແຈກຢາຍຢ່າງກວ້າງຂວາງໃນທົ່ວລູກຄ້າທັງຫມົດ.

Let's Encrypt ປະຈຸບັນໃຊ້ໃບຮັບຮອງລະດັບກາງທີ່ມີລາຍເຊັນຂ້າມລະບົບຕ່ອງໂສ້ກັບ IdenTrust DST Root CA X3. ໃບຮັບຮອງຮາກນີ້ຖືກອອກໃຫ້ໃນເດືອນກັນຍາ 2000 ແລະໝົດອາຍຸໃນວັນທີ 30 ກັນຍາ 2021. ຈົນກ່ວານັ້ນ, Let's Encrypt ວາງແຜນທີ່ຈະຍ້າຍໄປຫາ ISRG Root X1 ທີ່ເຊັນດ້ວຍຕົນເອງ.

ຮາກ ISRG ປ່ອຍອອກມາເມື່ອວັນທີ 4 ມິຖຸນາ 2015. ຫຼັງຈາກນັ້ນ, ຂະບວນການອະນຸມັດຂອງຕົນເປັນອົງການຢັ້ງຢືນເລີ່ມຕົ້ນ, ເຊິ່ງໄດ້ສິ້ນສຸດລົງ 6 ສິງຫາ 2018 ຂອງປີ. ຈາກຈຸດນີ້, ຮາກ CA ສາມາດໃຊ້ໄດ້ກັບລູກຄ້າທັງຫມົດໂດຍຜ່ານລະບົບປະຕິບັດການຫຼືການປັບປຸງຊອບແວ. ສິ່ງທີ່ທ່ານຕ້ອງເຮັດແມ່ນຕິດຕັ້ງການປັບປຸງ.

ແຕ່ນັ້ນແມ່ນບັນຫາ.

ຖ້າໂທລະສັບມືຖື, ໂທລະພາບຫຼືອຸປະກອນອື່ນໆຂອງທ່ານບໍ່ໄດ້ຮັບການປັບປຸງເປັນເວລາສອງປີ, ມັນຈະຮູ້ໄດ້ແນວໃດກ່ຽວກັບໃບຢັ້ງຢືນຮາກ ISRG Root X1 ໃຫມ່? ແລະຖ້າຫາກວ່າທ່ານບໍ່ໄດ້ຕິດຕັ້ງມັນຢູ່ໃນລະບົບ, ຫຼັງຈາກນັ້ນອຸປະກອນຂອງທ່ານຈະ invalidate ໃບຢັ້ງຢືນເຊີບເວີ Let's Encrypt ທັງຫມົດໃນທັນທີທີ່ Let's Encrypt ປ່ຽນເປັນຮາກໃຫມ່. ແລະໃນລະບົບນິເວດ Android ມີອຸປະກອນທີ່ລ້າສະໄຫມຫຼາຍທີ່ບໍ່ໄດ້ຮັບການປັບປຸງເປັນເວລາດົນນານ.

ລະບົບນິເວດ Android

ນີ້ແມ່ນເຫດຜົນທີ່ເຮັດໃຫ້ການເຂົ້າລະຫັດຊັກຊ້າການເຄື່ອນຍ້າຍໄປສູ່ຮາກ ISRG ຂອງຕົນເອງແລະຍັງໃຊ້ຕົວກາງທີ່ລົງໄປຫາຮາກ IdenTrust. ແຕ່ການຫັນປ່ຽນຈະຕ້ອງໄດ້ເຮັດໃນກໍລະນີໃດກໍ່ຕາມ. ແລະວັນທີຂອງການປ່ຽນແປງຮາກໄດ້ຖືກມອບຫມາຍ 8 ກອນກະດາຄົມ 2020 ປີ.

ເພື່ອກວດເບິ່ງວ່າຮາກ ISRG X1 ຖືກຕິດຕັ້ງຢູ່ໃນອຸປະກອນຂອງທ່ານ (ໂທລະພາບ, ກ່ອງຕັ້ງເທິງຫຼືລູກຄ້າອື່ນໆ), ເປີດເວັບໄຊທ໌ທົດສອບ. https://valid-isrgrootx1.letsencrypt.org/. ຖ້າບໍ່ມີການເຕືອນຄວາມປອດໄພປະກົດຂຶ້ນ, ທຸກຢ່າງປົກກະຕິດີ.

Let's Encrypt ບໍ່ແມ່ນອັນດຽວທີ່ປະເຊີນກັບສິ່ງທ້າທາຍຂອງການເຄື່ອນຍ້າຍໄປສູ່ຮາກໃຫມ່. ການເຂົ້າລະຫັດລັບໃນອິນເຕີເນັດໄດ້ເລີ່ມຖືກນໍາໃຊ້ພຽງແຕ່ຫຼາຍກວ່າ 20 ປີກ່ອນຫນ້ານີ້, ສະນັ້ນໃນປັດຈຸບັນແມ່ນເວລາທີ່ໃບຢັ້ງຢືນຮາກຈໍານວນຫຼາຍກໍາລັງຈະຫມົດອາຍຸ.

ເຈົ້າຂອງໂທລະພາບອັດສະລິຍະທີ່ບໍ່ໄດ້ອັບເດດຊອບແວ Smart TV ເປັນເວລາຫຼາຍປີອາດຈະພົບບັນຫານີ້. ຕົວຢ່າງ, ຮາກ GlobalSign ໃຫມ່ R5 ຮາກ ໄດ້ຖືກປ່ອຍອອກມາໃນປີ 2012, ແລະຫຼັງຈາກ Smart TVs ເກົ່າບາງຄົນບໍ່ສາມາດສ້າງລະບົບຕ່ອງໂສ້ກັບມັນ, ເພາະວ່າພວກມັນບໍ່ມີ CA ຮາກນີ້. ໂດຍສະເພາະ, ລູກຄ້າເຫຼົ່ານີ້ບໍ່ສາມາດສ້າງການເຊື່ອມຕໍ່ທີ່ປອດໄພກັບເວັບໄຊທ໌ bbc.co.uk. ເພື່ອແກ້ໄຂບັນຫາ, ຜູ້ບໍລິຫານຂອງ BBC ຕ້ອງໃຊ້ວິທີການຫຼອກລວງ: ພວກເຂົາ ພວກເຮົາສ້າງລະບົບຕ່ອງໂສ້ທາງເລືອກສໍາລັບລູກຄ້າເຫຼົ່ານີ້ ຜ່ານໃບຢັ້ງຢືນລະດັບປານກາງເພີ່ມເຕີມ, ການນໍາໃຊ້ຮາກເກົ່າ R3 ຮາກ и R1 ຮາກ, ທີ່ຍັງບໍ່ທັນໄດ້ຫມົດ ເນົ່າເປື່ອຍ.

www.bbc.co.uk (Leaf) GlobalSign ECC OV SSL CA 2018 (Intermediate) GlobalSign Root CA - R5 (Intermediate) GlobalSign Root CA - R3 (Intermediate)

ນີ້ແມ່ນການແກ້ໄຂຊົ່ວຄາວ. ບັນຫາຈະບໍ່ຫາຍໄປເວັ້ນເສຍແຕ່ວ່າທ່ານອັບເດດຊອບແວລູກຄ້າ. ໂທລະພາບອັດສະລິຍະແມ່ນຄອມພິວເຕີທີ່ມີຄວາມສາມາດຈຳກັດທີ່ໃຊ້ Linux. ແລະໂດຍບໍ່ມີການປັບປຸງ, ໃບຢັ້ງຢືນຮາກຂອງມັນ inevitably ຈະກາຍເປັນເນົ່າເປື່ອຍ.

ນີ້ໃຊ້ກັບອຸປະກອນທັງຫມົດ, ບໍ່ພຽງແຕ່ໂທລະພາບເທົ່ານັ້ນ. ຖ້າທ່ານມີອຸປະກອນໃດໆທີ່ເຊື່ອມຕໍ່ກັບອິນເຕີເນັດແລະຖືກໂຄສະນາວ່າເປັນອຸປະກອນ "ສະຫຼາດ", ຫຼັງຈາກນັ້ນ, ບັນຫາທີ່ມີໃບຢັ້ງຢືນການເນົ່າເປື່ອຍເກືອບແນ່ນອນກ່ຽວກັບມັນ. ຖ້າອຸປະກອນບໍ່ໄດ້ຮັບການປັບປຸງ, ຮາກ CA store ຈະກາຍເປັນລ້າສະໄຫມໃນໄລຍະເວລາແລະໃນທີ່ສຸດບັນຫາຈະປາກົດຂຶ້ນ. ບັນຫາເກີດຂຶ້ນໄວເທົ່າໃດແມ່ນຂຶ້ນກັບເວລາທີ່ຮ້ານຮາກໄດ້ຖືກປັບປຸງຫຼ້າສຸດ. ນີ້ອາດຈະເປັນເວລາຫຼາຍປີກ່ອນວັນປ່ອຍຕົວຈິງຂອງອຸປະກອນ.

ໂດຍວິທີທາງການ, ນີ້ແມ່ນບັນຫາວ່າເປັນຫຍັງບາງແພລະຕະຟອມສື່ມວນຊົນຂະຫນາດໃຫຍ່ບໍ່ສາມາດໃຊ້ເຈົ້າຫນ້າທີ່ໃບຢັ້ງຢືນອັດຕະໂນມັດທີ່ທັນສະໄຫມເຊັ່ນ Let's Encrypt, ຂຽນ Scott Helme. ພວກມັນບໍ່ເໝາະສົມກັບໂທລະພາບອັດສະລິຍະ, ແລະຈຳນວນຂອງຮາກມີໜ້ອຍເກີນໄປທີ່ຈະຮັບປະກັນການຮອງຮັບໃບຮັບຮອງໃນອຸປະກອນມໍລະດົກ. ຖ້າບໍ່ດັ່ງນັ້ນ, ໂທລະພາບຈະບໍ່ສາມາດເປີດບໍລິການສະຕຣີມມິງທີ່ທັນສະໄໝໄດ້.

ເຫດການຫລ້າສຸດກັບ AddTrust ສະແດງໃຫ້ເຫັນວ່າເຖິງແມ່ນວ່າບໍລິສັດ IT ຂະຫນາດໃຫຍ່ບໍ່ໄດ້ກຽມພ້ອມສໍາລັບຄວາມຈິງທີ່ວ່າໃບຢັ້ງຢືນຮາກຈະຫມົດອາຍຸ.

ມີພຽງແຕ່ຫນຶ່ງການແກ້ໄຂຂອງບັນຫາ - ປັບປຸງ. ນັກພັດທະນາອຸປະກອນອັດສະລິຍະຕ້ອງໃຫ້ກົນໄກການປັບປຸງຊອບແວແລະໃບຢັ້ງຢືນຮາກລ່ວງຫນ້າ. ໃນທາງກົງກັນຂ້າມ, ມັນບໍ່ມີກໍາໄລສໍາລັບຜູ້ຜະລິດເພື່ອຮັບປະກັນການດໍາເນີນງານຂອງອຸປະກອນຂອງເຂົາເຈົ້າຫຼັງຈາກໄລຍະເວລາຮັບປະກັນຫມົດອາຍຸ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com