NPM repository ກໍາລັງເຊົາສະຫນັບສະຫນູນ TLS 1.0 ແລະ 1.1

GitHub ໄດ້ຕັດສິນໃຈຢຸດການສະຫນັບສະຫນູນ TLS 1.0 ແລະ 1.1 ໃນບ່ອນເກັບຂໍ້ມູນແພັກເກັດ NPM ແລະທຸກເວັບໄຊທ໌ທີ່ກ່ຽວຂ້ອງກັບຜູ້ຈັດການຊຸດ NPM, ລວມທັງ npmjs.com. ເລີ່ມແຕ່ວັນທີ 4 ຕຸລາເປັນຕົ້ນໄປ, ການເຊື່ອມຕໍ່ກັບບ່ອນເກັບມ້ຽນ, ລວມທັງການຕິດຕັ້ງແພັກເກັດ, ຈະຕ້ອງການລູກຄ້າທີ່ສະຫນັບສະຫນູນຢ່າງຫນ້ອຍ TLS 1.2. ໃນ GitHub ຕົວມັນເອງ, ການຮອງຮັບ TLS 1.0/1.1 ໄດ້ຢຸດໃຫ້ບໍລິການຄືນໃນເດືອນກຸມພາ 2018. ສິ່ງຈູງໃຈດັ່ງກ່າວໄດ້ຖືກກ່າວເຖິງວ່າມີຄວາມກັງວົນກ່ຽວກັບຄວາມປອດໄພຂອງການບໍລິການຂອງມັນແລະຄວາມລັບຂອງຂໍ້ມູນຜູ້ໃຊ້. ອີງຕາມ GitHub, ປະມານ 99% ຂອງການຮ້ອງຂໍຕໍ່ NPM repository ແມ່ນແລ້ວໂດຍໃຊ້ TLS 1.2 ຫຼື 1.3, ແລະ Node.js ໄດ້ລວມເອົາການສະຫນັບສະຫນູນ TLS 1.2 ນັບຕັ້ງແຕ່ 2013 (ນັບຕັ້ງແຕ່ການປ່ອຍ 0.10), ດັ່ງນັ້ນການປ່ຽນແປງຈະມີຜົນກະທົບພຽງແຕ່ສ່ວນນ້ອຍໆຂອງ ຜູ້ໃຊ້.

ໃຫ້ພວກເຮົາຈື່ໄວ້ວ່າໂປໂຕຄອນ TLS 1.0 ແລະ 1.1 ໄດ້ຖືກຈັດປະເພດຢ່າງເປັນທາງການເປັນເຕັກໂນໂລຢີທີ່ລ້າສະໄຫມໂດຍ IETF (Internet Engineering Task Force). ຂໍ້ມູນຈໍາເພາະຂອງ TLS 1.0 ໄດ້ຖືກຈັດພີມມາໃນເດືອນມັງກອນ 1999. ເຈັດປີຕໍ່ມາ, ການປັບປຸງ TLS 1.1 ໄດ້ຖືກປ່ອຍອອກມາໂດຍການປັບປຸງຄວາມປອດໄພທີ່ກ່ຽວຂ້ອງກັບການຜະລິດ vectors ເບື້ອງຕົ້ນແລະ padding. ໃນບັນດາບັນຫາຕົ້ນຕໍຂອງ TLS 1.0/1.1 ແມ່ນການຂາດການສະຫນັບສະຫນູນສໍາລັບລະຫັດລັບທີ່ທັນສະໄຫມ (ຕົວຢ່າງ, ECDHE ແລະ AEAD) ແລະການປະກົດຕົວໃນຂໍ້ກໍານົດຂອງຂໍ້ກໍານົດເພື່ອສະຫນັບສະຫນູນລະຫັດເກົ່າ, ຄວາມຫນ້າເຊື່ອຖືທີ່ຖືກຖາມຢູ່ໃນຂັ້ນຕອນຂອງປະຈຸບັນ. ການພັດທະນາເຕັກໂນໂລຊີຄອມພິວເຕີ (ຕົວຢ່າງ, ສະຫນັບສະຫນູນ TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA ແມ່ນຈໍາເປັນເພື່ອກວດກາເບິ່ງຄວາມສົມບູນແລະການກວດສອບໄດ້ນໍາໃຊ້ MD5 ແລະ SHA-1). ການສະຫນັບສະຫນູນລະບົບສູດການຄິດໄລ່ທີ່ລ້າສະໄຫມໄດ້ນໍາໄປສູ່ການໂຈມຕີເຊັ່ນ ROBOT, DROWN, BEAST, Logjam ແລະ FREAK. ຢ່າງໃດກໍ່ຕາມ, ບັນຫາເຫຼົ່ານີ້ບໍ່ໄດ້ຖືກພິຈາລະນາໂດຍກົງເຖິງຄວາມອ່ອນແອຂອງໂປໂຕຄອນແລະໄດ້ຮັບການແກ້ໄຂໃນລະດັບການປະຕິບັດຂອງມັນ. ໂປໂຕຄອນ TLS 1.0/1.1 ຕົວເອງຍັງຂາດຊ່ອງໂຫວ່ທີ່ສໍາຄັນທີ່ສາມາດຖືກຂູດຮີດເພື່ອປະຕິບັດການໂຈມຕີຕົວຈິງ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru