TLS-ALPN-2 നടപ്പിലാക്കുന്നതിലെ പ്രശ്നങ്ങൾ കാരണം നമുക്ക് എൻക്രിപ്റ്റ് 01 ദശലക്ഷം സർട്ടിഫിക്കറ്റുകൾ അസാധുവാക്കുന്നു

ആർക്കും സൗജന്യ സർട്ടിഫിക്കറ്റുകൾ നൽകുന്ന, കമ്മ്യൂണിറ്റി നടത്തുന്ന, ലാഭേച്ഛയില്ലാത്ത സർട്ടിഫിക്കറ്റ് അതോറിറ്റി (CA) ആയ ലെറ്റ്സ് എൻക്രിപ്റ്റ്, ഏകദേശം രണ്ട് ദശലക്ഷം TLS സർട്ടിഫിക്കറ്റുകൾ നേരത്തെ റദ്ദാക്കുമെന്ന് പ്രഖ്യാപിച്ചു, ഇത് CA നൽകുന്ന എല്ലാ സജീവ സർട്ടിഫിക്കറ്റുകളുടെയും ഏകദേശം 1% ആണ്. TLS-ALPN-01 എക്സ്റ്റൻഷൻ (RFC 7301, ആപ്ലിക്കേഷൻ-ലെയർ പ്രോട്ടോക്കോൾ നെഗോഷ്യേഷൻ) നടപ്പിലാക്കുന്ന ലെറ്റ്സ് എൻക്രിപ്റ്റിന്റെ കോഡിലെ സ്പെസിഫിക്കേഷൻ ആവശ്യകതകൾ പാലിക്കാത്തതിനാലാണ് അസാധുവാക്കൽ ആരംഭിച്ചത്. HTTP/2-ൽ ഉപയോഗിക്കുന്ന ALPN TLS എക്സ്റ്റൻഷനെ അടിസ്ഥാനമാക്കി കണക്ഷൻ നെഗോഷ്യേഷൻ സമയത്ത് നടത്തിയ ചില പരിശോധനകളുടെ അഭാവമാണ് ഈ പൊരുത്തക്കേടിന് കാരണം. ബാധിച്ച സർട്ടിഫിക്കറ്റുകളുടെ അസാധുവാക്കൽ പൂർത്തിയായ ശേഷം സംഭവത്തെക്കുറിച്ചുള്ള വിശദമായ വിവരങ്ങൾ പ്രസിദ്ധീകരിക്കും.

ജനുവരി 26 ന് പുലർച്ചെ 03:48 ന് (MSK), പ്രശ്നം പരിഹരിച്ചു, പക്ഷേ TLS-ALPN-01 സ്ഥിരീകരണ രീതി ഉപയോഗിച്ച് നൽകിയ എല്ലാ സർട്ടിഫിക്കറ്റുകളും അസാധുവാക്കി. ജനുവരി 28 ന് വൈകുന്നേരം 19:00 മണിക്ക് (MSK) സർട്ടിഫിക്കറ്റ് അസാധുവാക്കൽ ആരംഭിക്കും. TLS-ALPN-01 സ്ഥിരീകരണ രീതി ഉപയോഗിക്കുന്ന ഉപയോക്താക്കൾ ഈ സമയത്തിന് മുമ്പ് അവരുടെ സർട്ടിഫിക്കറ്റുകൾ പുതുക്കാൻ നിർദ്ദേശിക്കുന്നു, അല്ലാത്തപക്ഷം അവ നേരത്തെ അസാധുവാകും.

സർട്ടിഫിക്കറ്റുകൾ പുതുക്കേണ്ടതിന്റെ ആവശ്യകതയെക്കുറിച്ചുള്ള അറിയിപ്പുകൾ ഇമെയിൽ വഴി അയച്ചിട്ടുണ്ട്. ഡിഫോൾട്ട് ക്രമീകരണങ്ങളുള്ള സർട്ടിഫിക്കറ്റുകൾ ലഭിക്കുന്നതിന് സെർട്ട്‌ബോട്ടും ഡീഹൈഡ്രേറ്റഡ് ടൂളുകളും ഉപയോഗിക്കുന്ന ഉപയോക്താക്കളെ ഈ പ്രശ്‌നം ബാധിക്കില്ല. Caddy, Traefik, Apache mod_md, autocert പാക്കേജുകളിൽ TLS-ALPN-01 രീതി പിന്തുണയ്ക്കുന്നു. ഐഡന്റിഫയറുകൾ, സീരിയൽ നമ്പറുകൾ അല്ലെങ്കിൽ ഡൊമെനോവ് പ്രശ്നമുള്ള സർട്ടിഫിക്കറ്റുകളുടെ പട്ടികയിൽ.

ഈ മാറ്റങ്ങൾ TLS-ALPN-01 വെരിഫിക്കേഷന്റെ സ്വഭാവത്തെ ബാധിക്കുന്നതിനാൽ, തുടർന്നും പ്രവർത്തിക്കാൻ ഒരു ACME ക്ലയന്റ് അപ്‌ഡേറ്റ് അല്ലെങ്കിൽ കോൺഫിഗറേഷൻ മാറ്റങ്ങൾ (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik) ആവശ്യമായി വന്നേക്കാം. മാറ്റങ്ങൾ 1.2-ൽ കുറയാത്ത TLS പതിപ്പുകളുടെ ഉപയോഗത്തിലേക്കും (ക്ലയന്റുകൾക്ക് ഇനി TLS 1.1 ഉപയോഗിക്കാൻ കഴിയില്ല) OID 1.3.6.1.5.5.7.1.30.1-നുള്ള പിന്തുണ നിർത്തലാക്കലിലേക്കും ചുരുക്കിയിരിക്കുന്നു, ഇത് RFC 8737 സ്പെസിഫിക്കേഷന്റെ ആദ്യകാല ഡ്രാഫ്റ്റുകളിൽ മാത്രം പിന്തുണയ്ക്കുന്ന കാലഹരണപ്പെട്ട acmeIdentifier വിപുലീകരണത്തെ തിരിച്ചറിയുന്നു (ഒരു സർട്ടിഫിക്കറ്റ് സൃഷ്ടിക്കുമ്പോൾ, OID 1.3.6.1.5.5.7.1.31 മാത്രമേ ഇപ്പോൾ അനുവദനീയമായിട്ടുള്ളൂ, കൂടാതെ OID 1.3.6.1.5.5.7.1.30.1 ഉപയോഗിക്കുന്ന ക്ലയന്റുകൾക്ക് ഒരു സർട്ടിഫിക്കറ്റ് ലഭിക്കില്ല).

അവലംബം: opennet.ru