ການໝົດອາຍຸຂອງໃບຢັ້ງຢືນຮາກຂອງ IdenTrust ຈະນໍາໄປສູ່ການສູນເສຍຄວາມໄວ້ວາງໃຈໃນ Let's Encrypt ໃນອຸປະກອນເກົ່າ

ໃນວັນທີ 30 ເດືອນກັນຍາເວລາ 17:01 ມອດໂກ, ໃບຢັ້ງຢືນຮາກ IdenTrust (DST Root CA X3), ເຊິ່ງຖືກນໍາໃຊ້ເພື່ອຂ້າມເຊັນໃບຢັ້ງຢືນຮາກຂອງອົງການການຢັ້ງຢືນ Let's Encrypt (ISRG Root X1), ເຊິ່ງຖືກຄວບຄຸມໂດຍຊຸມຊົນແລະ. ສະໜອງໃບຢັ້ງຢືນໃຫ້ທຸກຄົນໂດຍບໍ່ເສຍຄ່າ, ໝົດອາຍຸ. ການເຊັນຊື່ຂ້າມໄດ້ຮັບປະກັນໃຫ້ໃບຮັບຮອງ Let's Encrypt ເຊື່ອຖືໄດ້ໃນທົ່ວອຸປະກອນ, ລະບົບປະຕິບັດການ ແລະຕົວທ່ອງເວັບທີ່ຫຼາກຫຼາຍ ໃນຂະນະທີ່ໃບຢັ້ງຢືນຮາກຂອງ Let's Encrypt ຖືກລວມເຂົ້າກັບຮ້ານຂາຍໃບຢັ້ງຢືນຮາກ.

ມັນໄດ້ຖືກວາງແຜນໄວ້ໃນຕອນຕົ້ນວ່າຫຼັງຈາກການປະຕິເສດຂອງ DST Root CA X3, ໂຄງການ Let's Encrypt ຈະປ່ຽນໄປສູ່ການສ້າງລາຍເຊັນໂດຍໃຊ້ພຽງແຕ່ໃບຢັ້ງຢືນຮາກຂອງມັນ, ແຕ່ການເຄື່ອນໄຫວດັ່ງກ່າວຈະນໍາໄປສູ່ການສູນເສຍຄວາມເຂົ້າກັນໄດ້ກັບລະບົບເກົ່າຈໍານວນຫລາຍທີ່ບໍ່ມີ. ເພີ່ມໃບຮັບຮອງການເຂົ້າລະຫັດຮາກຂອງ Let's ກັບບ່ອນເກັບມ້ຽນຂອງພວກເຂົາ. ໂດຍສະເພາະ, ປະມານ 30% ຂອງອຸປະກອນ Android ທີ່ໃຊ້ຢູ່ບໍ່ມີຂໍ້ມູນຢູ່ໃນໃບຮັບຮອງການເຂົ້າລະຫັດຮາກຂອງ Let's Encrypt, ຮອງຮັບທີ່ປາກົດພຽງແຕ່ເລີ່ມຕົ້ນດ້ວຍແພລະຕະຟອມ Android 7.1.1, ປ່ອຍອອກມາເມື່ອທ້າຍປີ 2016.

Let's Encrypt ບໍ່ໄດ້ວາງແຜນທີ່ຈະລົງນາມໃນຂໍ້ຕົກລົງການລົງລາຍເຊັນໃໝ່, ເພາະວ່ານີ້ບັງຄັບຄວາມຮັບຜິດຊອບເພີ່ມເຕີມຕໍ່ບັນດາຝ່າຍໃນຂໍ້ຕົກລົງ, ເຮັດໃຫ້ພວກເຂົາຂາດຄວາມເປັນເອກະລາດ ແລະຜູກມັດມືຂອງເຂົາເຈົ້າໃນການປະຕິບັດຕາມທຸກຂັ້ນຕອນ ແລະກົດລະບຽບຂອງອຳນາດການຢັ້ງຢືນອື່ນ. ແຕ່​ເນື່ອງ​ຈາກ​ບັນ​ຫາ​ທີ່​ອາດ​ເປັນ​ຈໍາ​ນວນ​ຫຼາຍ​ຂອງ​ອຸ​ປະ​ກອນ Android​, ແຜນ​ການ​ໄດ້​ຮັບ​ການ​ປັບ​ປຸງ​. ຂໍ້ຕົກລົງໃຫມ່ໄດ້ຖືກສະຫຼຸບກັບເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນ IdenTrust, ໃນຂອບເຂດທີ່ໃບຢັ້ງຢືນລະດັບກາງຂອງ Let's Encrypt ທີ່ມີການເຊັນຂ້າມທາງເລືອກໄດ້ຖືກສ້າງຂື້ນ. ລາຍເຊັນຂ້າມຈະໃຊ້ໄດ້ສາມປີ ແລະຈະຮັກສາການຮອງຮັບອຸປະກອນ Android ເລີ່ມຕົ້ນດ້ວຍເວີຊັນ 2.3.6.

ຢ່າງໃດກໍຕາມ, ໃບຢັ້ງຢືນລະດັບປານກາງໃຫມ່ບໍ່ໄດ້ກວມເອົາລະບົບມໍລະດົກອື່ນໆຈໍານວນຫຼາຍ. ຕົວຢ່າງ, ດ້ວຍການຍົກເລີກໃບຢັ້ງຢືນ DST Root CA X3 ໃນວັນທີ 30 ກັນຍາ, ໃບຢັ້ງຢືນ Let's Encrypt ຈະບໍ່ຖືກຍອມຮັບໃນເຟີມແວທີ່ບໍ່ຮອງຮັບ ແລະ ລະບົບປະຕິບັດການທີ່ຕ້ອງການເພີ່ມໃບຢັ້ງຢືນ ISRG Root X1 ດ້ວຍຕົນເອງໃສ່ບ່ອນເກັບໃບຢັ້ງຢືນຮາກເພື່ອຮັບປະກັນຄວາມໄວ້ວາງໃຈໃນ Let's ເຂົ້າລະຫັດໃບຢັ້ງຢືນ. ບັນຫາຈະສະແດງອອກໃນ:

• OpenSSL ເຖິງສາຂາ 1.0.2 ຮວມ (ການບຳລຸງຮັກສາສາຂາ 1.0.2 ໄດ້ຢຸດໃຫ້ບໍລິການໃນເດືອນທັນວາ 2019);
• NSS < 3.26;
• Java 8 < 8u141, Java 7 < 7u151;
• Windows < XP SP3;
• macOS < 10.12.1;
• iOS < 10 (iPhone < 5);
• Android < 2.3.6;
• Mozilla Firefox < 50;
• Ubuntu < 16.04;
• ເດບຽນ <8.

ໃນກໍລະນີຂອງ OpenSSL 1.0.2, ບັນຫາແມ່ນເກີດມາຈາກຂໍ້ບົກພ່ອງທີ່ປ້ອງກັນບໍ່ໃຫ້ໃບຢັ້ງຢືນການເຊັນຂ້າມຖືກດໍາເນີນການຢ່າງຖືກຕ້ອງຖ້າໃບຢັ້ງຢືນຮາກອັນຫນຶ່ງທີ່ໃຊ້ສໍາລັບການເຊັນຫມົດອາຍຸ, ເຖິງແມ່ນວ່າຕ່ອງໂສ້ຄວາມໄວ້ວາງໃຈທີ່ຖືກຕ້ອງອື່ນໆຍັງຄົງຢູ່. ບັນຫາທໍາອິດເກີດຂື້ນໃນປີກາຍນີ້ຫຼັງຈາກໃບຢັ້ງຢືນ AddTrust ທີ່ໃຊ້ໃນການເຊັນໃບຢັ້ງຢືນຈາກອົງການການຢັ້ງຢືນ Sectigo (Comodo) ໄດ້ກາຍເປັນລ້າສະໄຫມ. ຈຸດສໍາຄັນຂອງບັນຫາແມ່ນວ່າ OpenSSL ແຍກໃບຢັ້ງຢືນເປັນລະບົບຕ່ອງໂສ້ເສັ້ນ, ໃນຂະນະທີ່ອີງຕາມ RFC 4158, ໃບຢັ້ງຢືນສາມາດເປັນຕົວແທນຂອງເສັ້ນວົງວຽນທີ່ແຈກຢາຍໂດຍກົງກັບສະມໍຄວາມໄວ້ວາງໃຈຫຼາຍທີ່ຕ້ອງໄດ້ຮັບການພິຈາລະນາ.

ຜູ້ໃຊ້ການແຈກຢາຍເກົ່າໂດຍອີງໃສ່ OpenSSL 1.0.2 ໄດ້ຖືກສະເຫນີສາມວິທີແກ້ໄຂບັນຫາ:

• ເອົາໃບຮັບຮອງຮາກ IdenTrust DST Root CA X3 ອອກດ້ວຍຕົນເອງ ແລະຕິດຕັ້ງໃບຮັບຮອງຮາກ ISRG Root X1 ແບບຢືນຢູ່ຄົນດຽວ (ບໍ່ໄດ້ເຊັນຊື່ຂ້າມຜ່ານ).
• ເມື່ອເປີດໃຊ້ຄຳສັ່ງ openssl verify ແລະ s_client, ທ່ານສາມາດລະບຸຕົວເລືອກ “--trusted_first” ໄດ້.
• ໃຊ້ໃນເຊີບເວີໃບຢັ້ງຢືນທີ່ໄດ້ຮັບການຢັ້ງຢືນໂດຍໃບຢັ້ງຢືນຮາກແຍກຕ່າງຫາກ SRG Root X1, ເຊິ່ງບໍ່ມີລາຍເຊັນຂ້າມ. ວິທີການນີ້ຈະນໍາໄປສູ່ການສູນເສຍຄວາມເຂົ້າກັນໄດ້ກັບລູກຄ້າ Android ເກົ່າ.

ນອກຈາກນັ້ນ, ພວກເຮົາສາມາດສັງເກດວ່າໂຄງການ Let's Encrypt ໄດ້ເອົາຊະນະຈຸດສໍາຄັນຂອງສອງພັນລ້ານໃບຢັ້ງຢືນທີ່ສ້າງຂຶ້ນ. ເປົ້າໝາຍໜຶ່ງຕື້ໄດ້ບັນລຸໃນເດືອນກຸມພາປີກາຍນີ້. 2.2-2.4 ລ້ານໃບຮັບຮອງໃຫມ່ແມ່ນຖືກສ້າງຂຶ້ນປະຈໍາວັນ. ຈໍານວນໃບຢັ້ງຢືນທີ່ມີການເຄື່ອນໄຫວແມ່ນ 192 ລ້ານ (ໃບຢັ້ງຢືນມີຜົນບັງຄັບໃຊ້ສໍາລັບສາມເດືອນ) ແລະກວມເອົາປະມານ 260 ລ້ານໂດເມນ (195 ລ້ານໂດເມນຖືກຄຸ້ມຄອງໃນປີກ່ອນ, 150 ລ້ານສອງປີກ່ອນ, 60 ລ້ານສາມປີກ່ອນ). ອີງຕາມສະຖິຕິຈາກການບໍລິການ Firefox Telemetry, ການແບ່ງປັນທົ່ວໂລກຂອງການຮ້ອງຂໍຫນ້າຜ່ານ HTTPS ແມ່ນ 82% (ປີກ່ອນ - 81%, ສອງປີກ່ອນ - 77%, ສາມປີກ່ອນ - 69%, ສີ່ປີກ່ອນ - 58%).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru