NPM റിപ്പോസിറ്ററി TLS 1.0, 1.1 എന്നിവയ്ക്കുള്ള പിന്തുണ ഇല്ലാതാക്കുന്നു

NPM പാക്കേജ് റിപ്പോസിറ്ററിയിലും npmjs.com ഉൾപ്പെടെ NPM പാക്കേജ് മാനേജറുമായി ബന്ധപ്പെട്ട എല്ലാ സൈറ്റുകളിലും TLS 1.0, 1.1 എന്നിവയ്ക്കുള്ള പിന്തുണ നിർത്താൻ GitHub തീരുമാനിച്ചു. ഒക്ടോബർ 4 മുതൽ, പാക്കേജുകൾ ഇൻസ്‌റ്റാൾ ചെയ്യുന്നതുൾപ്പെടെ റിപ്പോസിറ്ററിയിലേക്ക് കണക്റ്റുചെയ്യുന്നതിന്, കുറഞ്ഞത് TLS 1.2-നെയെങ്കിലും പിന്തുണയ്ക്കുന്ന ഒരു ക്ലയന്റ് ആവശ്യമാണ്. GitHub-ൽ തന്നെ, TLS 1.0/1.1-നുള്ള പിന്തുണ 2018 ഫെബ്രുവരിയിൽ നിർത്തലാക്കി. അതിന്റെ സേവനങ്ങളുടെ സുരക്ഷയും ഉപയോക്തൃ ഡാറ്റയുടെ രഹസ്യാത്മകതയും സംബന്ധിച്ച ആശങ്കയാണ് ഈ ഉദ്ദേശ്യമെന്ന് പറയപ്പെടുന്നു. GitHub അനുസരിച്ച്, NPM ശേഖരണത്തിലേക്കുള്ള അഭ്യർത്ഥനകളിൽ ഏകദേശം 99% ഇതിനകം TLS 1.2 അല്ലെങ്കിൽ 1.3 ഉപയോഗിച്ചാണ് നിർമ്മിച്ചിരിക്കുന്നത്, കൂടാതെ Node.js 1.2 മുതൽ TLS 2013-നുള്ള പിന്തുണ ഉൾപ്പെടുത്തിയിട്ടുണ്ട് (0.10 റിലീസ് ചെയ്തതിന് ശേഷം), അതിനാൽ മാറ്റം ഒരു ചെറിയ ഭാഗത്തെ മാത്രമേ ബാധിക്കൂ. ഉപയോക്താക്കൾ.

TLS 1.0, 1.1 പ്രോട്ടോക്കോളുകൾ IETF (ഇന്റർനെറ്റ് എഞ്ചിനീയറിംഗ് ടാസ്‌ക് ഫോഴ്‌സ്) ഔദ്യോഗികമായി കാലഹരണപ്പെട്ട സാങ്കേതികവിദ്യകളായി തരംതിരിച്ചിരിക്കുന്നത് നമുക്ക് ഓർക്കാം. TLS 1.0 സ്പെസിഫിക്കേഷൻ 1999 ജനുവരിയിൽ പ്രസിദ്ധീകരിച്ചു. ഏഴ് വർഷത്തിന് ശേഷം, ഇനീഷ്യലൈസേഷൻ വെക്റ്ററുകളുടെയും പാഡിംഗിന്റെയും ഉൽപാദനവുമായി ബന്ധപ്പെട്ട സുരക്ഷാ മെച്ചപ്പെടുത്തലുകളോടെ TLS 1.1 അപ്‌ഡേറ്റ് പുറത്തിറങ്ങി. TLS 1.0/1.1-ന്റെ പ്രധാന പ്രശ്‌നങ്ങളിൽ ആധുനിക സൈഫറുകൾക്കുള്ള പിന്തുണയുടെ അഭാവവും (ഉദാഹരണത്തിന്, ECDHE, AEAD) പഴയ സൈഫറുകളെ പിന്തുണയ്‌ക്കുന്നതിനുള്ള ആവശ്യകതയുടെ സ്പെസിഫിക്കേഷനിലെ സാന്നിധ്യവുമാണ്, ഇതിന്റെ വിശ്വാസ്യത നിലവിലെ ഘട്ടത്തിൽ ചോദ്യം ചെയ്യപ്പെടുന്നു. കമ്പ്യൂട്ടിംഗ് സാങ്കേതികവിദ്യയുടെ വികസനം (ഉദാഹരണത്തിന്, സമഗ്രത പരിശോധിക്കുന്നതിന് TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA-നുള്ള പിന്തുണ ആവശ്യമാണ്, ആധികാരികത MD5, SHA-1 എന്നിവ ഉപയോഗിക്കുന്നു). കാലഹരണപ്പെട്ട അൽഗോരിതങ്ങൾക്കുള്ള പിന്തുണ ഇതിനകം തന്നെ ROBOT, DROWN, BEAST, Logjam, FREAK തുടങ്ങിയ ആക്രമണങ്ങളിലേക്ക് നയിച്ചു. എന്നിരുന്നാലും, ഈ പ്രശ്നങ്ങൾ പ്രോട്ടോക്കോൾ കേടുപാടുകൾ നേരിട്ട് പരിഗണിക്കപ്പെട്ടില്ല, അത് നടപ്പിലാക്കുന്നതിന്റെ തലത്തിൽ തന്നെ പരിഹരിക്കപ്പെട്ടു. TLS 1.0/1.1 പ്രോട്ടോക്കോളുകൾക്ക് തന്നെ പ്രായോഗികമായ ആക്രമണങ്ങൾ നടത്തുന്നതിന് ഉപയോഗപ്പെടുത്താവുന്ന ഗുരുതരമായ കേടുപാടുകൾ ഇല്ല.

അവലംബം: opennet.ru