TLS-ALPN-2 നടപ്പിലാക്കുന്നതിലെ പ്രശ്നങ്ങൾ കാരണം നമുക്ക് എൻക്രിപ്റ്റ് 01 ദശലക്ഷം സർട്ടിഫിക്കറ്റുകൾ അസാധുവാക്കുന്നു

കമ്മ്യൂണിറ്റി നിയന്ത്രിക്കുന്നതും എല്ലാവർക്കും സൗജന്യമായി സർട്ടിഫിക്കറ്റുകൾ നൽകുന്നതുമായ ലാഭേച്ഛയില്ലാത്ത സർട്ടിഫിക്കറ്റ് അതോറിറ്റിയായ Let's Encrypt, ഏകദേശം രണ്ട് ദശലക്ഷം TLS സർട്ടിഫിക്കറ്റുകൾ നേരത്തേ അസാധുവാക്കുന്നതായി പ്രഖ്യാപിച്ചു, ഇത് ഈ സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയുടെ എല്ലാ സജീവ സർട്ടിഫിക്കറ്റുകളുടെയും ഏകദേശം 1% ആണ്. TLS-ALPN-01 എക്സ്റ്റൻഷൻ (RFC 7301, ആപ്ലിക്കേഷൻ-ലെയർ പ്രോട്ടോക്കോൾ നെഗോഷ്യേഷൻ) നടപ്പിലാക്കുന്നതിനൊപ്പം ലെറ്റ്സ് എൻക്രിപ്റ്റിൽ ഉപയോഗിച്ചിരിക്കുന്ന കോഡിലെ സ്പെസിഫിക്കേഷൻ ആവശ്യകതകൾ പാലിക്കുന്നില്ലെന്ന് തിരിച്ചറിഞ്ഞതിനാലാണ് സർട്ടിഫിക്കറ്റുകളുടെ അസാധുവാക്കൽ ആരംഭിച്ചത്. HTTP/2-ൽ ഉപയോഗിച്ചിരിക്കുന്ന ALPN TLS വിപുലീകരണത്തെ അടിസ്ഥാനമാക്കിയുള്ള കണക്ഷൻ നെഗോഷ്യേഷൻ പ്രക്രിയയിൽ നടത്തിയ ചില പരിശോധനകളുടെ അഭാവമാണ് പൊരുത്തക്കേടിന് കാരണം. പ്രശ്‌നമുള്ള സർട്ടിഫിക്കറ്റുകൾ അസാധുവാക്കിയ ശേഷം സംഭവത്തെക്കുറിച്ചുള്ള വിശദമായ വിവരങ്ങൾ പ്രസിദ്ധീകരിക്കും.

ജനുവരി 26-ന് 03:48-ന് (MSK) പ്രശ്നം പരിഹരിച്ചു, എന്നാൽ പരിശോധിച്ചുറപ്പിക്കുന്നതിനായി TLS-ALPN-01 രീതി ഉപയോഗിച്ച് നൽകിയ എല്ലാ സർട്ടിഫിക്കറ്റുകളും അസാധുവാക്കാൻ തീരുമാനിച്ചു. സർട്ടിഫിക്കറ്റുകളുടെ അസാധുവാക്കൽ ജനുവരി 28-ന് 19:00-ന് (MSK) ആരംഭിക്കും. ഈ സമയം വരെ, TLS-ALPN-01 സ്ഥിരീകരണ രീതി ഉപയോഗിക്കുന്ന ഉപയോക്താക്കൾ അവരുടെ സർട്ടിഫിക്കറ്റുകൾ അപ്‌ഡേറ്റ് ചെയ്യാൻ നിർദ്ദേശിക്കുന്നു, അല്ലാത്തപക്ഷം അവ നേരത്തെ തന്നെ അസാധുവാകും.

സർട്ടിഫിക്കറ്റുകൾ അപ്‌ഡേറ്റ് ചെയ്യേണ്ടതിന്റെ ആവശ്യകതയെക്കുറിച്ചുള്ള പ്രസക്തമായ അറിയിപ്പുകൾ ഇമെയിൽ വഴിയാണ് അയയ്ക്കുന്നത്. ഒരു സർട്ടിഫിക്കറ്റ് ലഭിക്കുന്നതിന് Certbot ഉം dehydrated ടൂളുകളും ഉപയോഗിക്കുന്ന ഉപയോക്താക്കളെ സ്ഥിരസ്ഥിതി ക്രമീകരണങ്ങൾ ഉപയോഗിക്കുമ്പോൾ പ്രശ്നം ബാധിച്ചില്ല. Caddy, Traefik, apache mod_md, autocert പാക്കേജുകളിൽ TLS-ALPN-01 രീതി പിന്തുണയ്ക്കുന്നു. പ്രശ്നമുള്ള സർട്ടിഫിക്കറ്റുകളുടെ പട്ടികയിൽ ഐഡന്റിഫയറുകളോ സീരിയൽ നമ്പറുകളോ ഡൊമെയ്‌നുകളോ തിരയുന്നതിലൂടെ നിങ്ങളുടെ സർട്ടിഫിക്കറ്റുകളുടെ കൃത്യത പരിശോധിക്കാം.

TLS-ALPN-01 രീതി ഉപയോഗിച്ച് പരിശോധിക്കുമ്പോൾ മാറ്റങ്ങൾ പെരുമാറ്റത്തെ ബാധിക്കുന്നതിനാൽ, ACME ക്ലയന്റ് അപ്‌ഡേറ്റ് ചെയ്യുകയോ ക്രമീകരണങ്ങൾ മാറ്റുകയോ (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik) പ്രവർത്തിക്കുന്നത് തുടരേണ്ടതുണ്ട്. 1.2-ൽ കുറയാത്ത TLS പതിപ്പുകളുടെ ഉപയോഗവും (ഉപഭോക്താക്കൾക്ക് ഇനി TLS 1.1 ഉപയോഗിക്കാൻ കഴിയില്ല) കാലഹരണപ്പെട്ട acmeIdentifier വിപുലീകരണത്തെ തിരിച്ചറിയുന്ന OID 1.3.6.1.5.5.7.1.30.1-ന്റെ മൂല്യനിർണ്ണയവും ഉൾപ്പെടുന്നു, ഇത് നേരത്തെ പിന്തുണയ്‌ക്കുന്നു. RFC 8737 സ്പെസിഫിക്കേഷന്റെ ഡ്രാഫ്റ്റുകൾ (ഒരു സർട്ടിഫിക്കറ്റ് സൃഷ്ടിക്കുമ്പോൾ, ഇപ്പോൾ OID 1.3.6.1.5.5.7.1.31 മാത്രമേ അനുവദനീയമായിട്ടുള്ളൂ, കൂടാതെ OID 1.3.6.1.5.5.7.1.30.1 ഉപയോഗിക്കുന്ന ക്ലയന്റുകൾക്ക് ഒരു സർട്ടിഫിക്കറ്റ് ലഭിക്കില്ല).

അവലംബം: opennet.ru