IdenTrust റൂട്ട് സർട്ടിഫിക്കറ്റിന്റെ കാലഹരണപ്പെടൽ പഴയ ഉപകരണങ്ങളിൽ നമുക്ക് എൻക്രിപ്റ്റ് ചെയ്യാനുള്ള വിശ്വാസം നഷ്ടപ്പെടാൻ ഇടയാക്കും.

സെപ്റ്റംബർ 30-ന് മോസ്കോ സമയം 17:01-ന്, നിയന്ത്രിക്കുന്ന ലെറ്റ്സ് എൻക്രിപ്റ്റ് സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയുടെ (ISRG റൂട്ട് X3) റൂട്ട് സർട്ടിഫിക്കറ്റിൽ ക്രോസ്-സൈൻ ചെയ്യാൻ ഉപയോഗിച്ച IdenTrust കമ്പനിയുടെ (DST റൂട്ട് CA X1) റൂട്ട് സർട്ടിഫിക്കറ്റ് കമ്മ്യൂണിറ്റി, എല്ലാവർക്കും സൗജന്യമായി സർട്ടിഫിക്കറ്റുകൾ നൽകുന്നു, കാലഹരണപ്പെടുന്നു. ക്രോസ്-സൈനിംഗ് ഉറപ്പാക്കി, നമുക്ക് എൻക്രിപ്റ്റ് സർട്ടിഫിക്കറ്റുകൾ വൈവിധ്യമാർന്ന ഉപകരണങ്ങൾ, ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങൾ, ബ്രൗസറുകൾ എന്നിവയിലുടനീളം വിശ്വസനീയമാണെന്ന് ഉറപ്പാക്കുന്നു, അതേസമയം നമുക്ക് എൻക്രിപ്റ്റിൻ്റെ സ്വന്തം റൂട്ട് സർട്ടിഫിക്കറ്റ് റൂട്ട് സർട്ടിഫിക്കറ്റ് സ്റ്റോറുകളിൽ സംയോജിപ്പിച്ചിരിക്കുന്നു.

ഡിഎസ്ടി റൂട്ട് സിഎ എക്സ് 3 ഒഴിവാക്കിയതിന് ശേഷം, ലെറ്റ്സ് എൻക്രിപ്റ്റ് പ്രോജക്റ്റ് അതിൻ്റെ റൂട്ട് സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് ഒപ്പുകൾ സൃഷ്ടിക്കുന്നതിലേക്ക് മാറുമെന്നാണ് ആദ്യം ആസൂത്രണം ചെയ്തിരുന്നത്, എന്നാൽ അത്തരമൊരു നീക്കം പഴയ സിസ്റ്റങ്ങളുടെ അനുയോജ്യത നഷ്‌ടപ്പെടുത്തും. അവരുടെ റിപ്പോസിറ്ററികളിലേക്ക് നമുക്ക് റൂട്ട് സർട്ടിഫിക്കറ്റ് എൻക്രിപ്റ്റ് ചെയ്യാം. പ്രത്യേകിച്ചും, ഉപയോഗത്തിലുള്ള ഏകദേശം 30% ആൻഡ്രോയിഡ് ഉപകരണങ്ങളിൽ ലെറ്റ്സ് എൻക്രിപ്റ്റ് റൂട്ട് സർട്ടിഫിക്കറ്റിൽ ഡാറ്റയില്ല, 7.1.1 അവസാനത്തോടെ പുറത്തിറക്കിയ ആൻഡ്രോയിഡ് 2016 പ്ലാറ്റ്‌ഫോമിൽ നിന്ന് ആരംഭിക്കുന്ന പിന്തുണ മാത്രം.

ഒരു പുതിയ ക്രോസ്-സിഗ്നേച്ചർ കരാറിൽ ഏർപ്പെടാൻ ലെറ്റ്സ് എൻക്രിപ്റ്റ് പദ്ധതിയിട്ടിട്ടില്ല, കാരണം ഇത് കരാറിലെ കക്ഷികൾക്ക് അധിക ഉത്തരവാദിത്തം ചുമത്തുകയും അവരുടെ സ്വാതന്ത്ര്യം നഷ്ടപ്പെടുത്തുകയും മറ്റൊരു സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയുടെ എല്ലാ നടപടിക്രമങ്ങളും നിയമങ്ങളും പാലിക്കുകയും ചെയ്യുന്നു. എന്നാൽ ധാരാളം ആൻഡ്രോയിഡ് ഉപകരണങ്ങളിൽ ഉണ്ടായേക്കാവുന്ന പ്രശ്നങ്ങൾ കാരണം പ്ലാൻ പരിഷ്കരിച്ചു. IdenTrust സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയുമായി ഒരു പുതിയ കരാർ അവസാനിപ്പിച്ചു, അതിൻ്റെ ചട്ടക്കൂടിനുള്ളിൽ ക്രോസ്-സൈൻ ചെയ്ത ലെറ്റ്സ് എൻക്രിപ്റ്റ് ഇൻ്റർമീഡിയറ്റ് സർട്ടിഫിക്കറ്റ് സൃഷ്ടിച്ചു. ക്രോസ്-സിഗ്നേച്ചർ മൂന്ന് വർഷത്തേക്ക് സാധുതയുള്ളതായിരിക്കും കൂടാതെ പതിപ്പ് 2.3.6 മുതൽ ആരംഭിക്കുന്ന Android ഉപകരണങ്ങൾക്കുള്ള പിന്തുണ നിലനിർത്തുകയും ചെയ്യും.

എന്നിരുന്നാലും, പുതിയ ഇൻ്റർമീഡിയറ്റ് സർട്ടിഫിക്കറ്റ് മറ്റ് പല പൈതൃക സംവിധാനങ്ങളെയും ഉൾക്കൊള്ളുന്നില്ല. ഉദാഹരണത്തിന്, സെപ്തംബർ 3-ന് DST റൂട്ട് CA X30 സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെടുമ്പോൾ, ലെറ്റ്സ് എൻക്രിപ്റ്റ് സർട്ടിഫിക്കറ്റുകളിൽ വിശ്വാസം ഉറപ്പാക്കാൻ റൂട്ട് സർട്ടിഫിക്കറ്റ് സ്റ്റോറിൽ ISRG റൂട്ട് X1 സർട്ടിഫിക്കറ്റ് സ്വമേധയാ ചേർക്കേണ്ട പിന്തുണയ്ക്കാത്ത ഫേംവെയറുകളിലും ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളിലും ഇനി എൻക്രിപ്റ്റ് സർട്ടിഫിക്കറ്റുകൾ സ്വീകരിക്കില്ല. . പ്രശ്നങ്ങൾ ഇതിൽ പ്രകടമാകും:

• ബ്രാഞ്ച് 1.0.2 ഉൾപ്പെടെയുള്ള ഓപ്പൺഎസ്എസ്എൽ (ബ്രാഞ്ച് 1.0.2 ൻ്റെ പരിപാലനം 2019 ഡിസംബറിൽ നിർത്തി);
• NSS < 3.26;
• ജാവ 8 < 8u141, ജാവ 7 < 7u151;
• വിൻഡോസ് < XP SP3;
• macOS < 10.12.1;
• iOS < 10 (iPhone < 5);
• ആൻഡ്രോയിഡ് < 2.3.6;
• മോസില്ല ഫയർഫോക്സ് <50;
• ഉബുണ്ടു <16.04;
• ഡെബിയൻ <8.

OpenSSL 1.0.2-ൻ്റെ കാര്യത്തിൽ, മറ്റ് സാധുതയുള്ള വിശ്വാസ ശൃംഖലകൾ നിലനിൽക്കുകയാണെങ്കിൽപ്പോലും, ഒപ്പിടാൻ ഉപയോഗിക്കുന്ന റൂട്ട് സർട്ടിഫിക്കറ്റുകളിലൊന്ന് കാലഹരണപ്പെട്ടാൽ, ക്രോസ്-സൈൻ ചെയ്ത സർട്ടിഫിക്കറ്റുകൾ ശരിയായി പ്രോസസ്സ് ചെയ്യുന്നതിൽ നിന്ന് തടയുന്ന ഒരു ബഗ് മൂലമാണ് പ്രശ്നം ഉണ്ടാകുന്നത്. സെക്റ്റിഗോ (കോമോഡോ) സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയിൽ നിന്നുള്ള സർട്ടിഫിക്കറ്റുകൾ ക്രോസ്-സൈൻ ചെയ്യാൻ ഉപയോഗിക്കുന്ന AddTrust സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടതിന് ശേഷമാണ് പ്രശ്നം ആദ്യം ഉയർന്നത്. ഓപ്പൺഎസ്എസ്എൽ സർട്ടിഫിക്കറ്റിനെ ഒരു ലീനിയർ ചെയിൻ ആയി പാഴ്‌സ് ചെയ്‌തു എന്നതാണ് പ്രശ്‌നത്തിൻ്റെ കാതൽ, അതേസമയം RFC 4158 അനുസരിച്ച്, ഒരു സർട്ടിഫിക്കറ്റിന് ഒന്നിലധികം ട്രസ്റ്റ് ആങ്കറുകളുള്ള ഡയറക്‌ട് ഡിസ്‌ട്രിബ്യൂഡ് സർക്കുലർ ഗ്രാഫിനെ പ്രതിനിധീകരിക്കാൻ കഴിയും, അത് കണക്കിലെടുക്കേണ്ടതുണ്ട്.

OpenSSL 1.0.2 അടിസ്ഥാനമാക്കിയുള്ള പഴയ വിതരണങ്ങളുടെ ഉപയോക്താക്കൾക്ക് പ്രശ്നം പരിഹരിക്കുന്നതിന് മൂന്ന് പരിഹാരങ്ങൾ വാഗ്ദാനം ചെയ്യുന്നു:

• IdenTrust DST റൂട്ട് CA X3 റൂട്ട് സർട്ടിഫിക്കറ്റ് സ്വമേധയാ നീക്കം ചെയ്‌ത് സ്റ്റാൻഡ്-എലോൺ (ക്രോസ്-സൈൻ ചെയ്തിട്ടില്ല) ISRG റൂട്ട് X1 റൂട്ട് സർട്ടിഫിക്കറ്റ് ഇൻസ്റ്റാൾ ചെയ്തു.
• openssl verify, s_client കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കുമ്പോൾ, നിങ്ങൾക്ക് “--trusted_first” ഓപ്ഷൻ വ്യക്തമാക്കാം.
• ക്രോസ്-സിഗ്നേച്ചർ ഇല്ലാത്ത ഒരു പ്രത്യേക റൂട്ട് സർട്ടിഫിക്കറ്റ് SRG റൂട്ട് X1 സാക്ഷ്യപ്പെടുത്തിയ സർട്ടിഫിക്കറ്റ് സെർവറിൽ ഉപയോഗിക്കുക. ഈ രീതി പഴയ Android ക്ലയൻ്റുകളുമായുള്ള അനുയോജ്യത നഷ്‌ടപ്പെടുത്തും.

കൂടാതെ, ജനറേറ്റ് ചെയ്ത രണ്ട് ബില്യൺ സർട്ടിഫിക്കറ്റുകളുടെ നാഴികക്കല്ല് ലെറ്റ്സ് എൻക്രിപ്റ്റ് പ്രോജക്റ്റ് മറികടന്നുവെന്നത് നമുക്ക് ശ്രദ്ധിക്കാം. കഴിഞ്ഞ വർഷം ഫെബ്രുവരിയിലാണ് നൂറുകോടി നാഴികക്കല്ല് പിന്നിട്ടത്. പ്രതിദിനം 2.2-2.4 ദശലക്ഷം പുതിയ സർട്ടിഫിക്കറ്റുകൾ സൃഷ്ടിക്കപ്പെടുന്നു. സജീവ സർട്ടിഫിക്കറ്റുകളുടെ എണ്ണം 192 ദശലക്ഷമാണ് (ഒരു സർട്ടിഫിക്കറ്റ് മൂന്ന് മാസത്തേക്ക് സാധുതയുള്ളതാണ്) കൂടാതെ ഏകദേശം 260 ദശലക്ഷം ഡൊമെയ്‌നുകൾ ഉൾക്കൊള്ളുന്നു (195 ദശലക്ഷം ഡൊമെയ്‌നുകൾ ഒരു വർഷം മുമ്പ്, 150 ദശലക്ഷം രണ്ട് വർഷം മുമ്പ്, 60 ദശലക്ഷം മൂന്ന് വർഷം മുമ്പ്). Firefox Telemetry സേവനത്തിൽ നിന്നുള്ള സ്ഥിതിവിവരക്കണക്കുകൾ പ്രകാരം, HTTPS വഴിയുള്ള പേജ് അഭ്യർത്ഥനകളുടെ ആഗോള വിഹിതം 82% ആണ് (ഒരു വർഷം മുമ്പ് - 81%, രണ്ട് വർഷം മുമ്പ് - 77%, മൂന്ന് വർഷം മുമ്പ് - 69%, നാല് വർഷം മുമ്പ് - 58%).

അവലംബം: opennet.ru