वेबसाइट ऑथेंटिकेट करण्यासाठी ब्राउझरसाठी, ते स्वतःला वैध प्रमाणपत्र साखळीसह सादर करते. एक सामान्य साखळी वर दर्शविली आहे, आणि एकापेक्षा जास्त इंटरमीडिएट प्रमाणपत्र असू शकते. वैध साखळीतील प्रमाणपत्रांची किमान संख्या तीन आहे.

मूळ प्रमाणपत्र हे प्रमाणपत्र प्राधिकरणाचे हृदय आहे. हे अक्षरशः तुमच्या OS किंवा ब्राउझरमध्ये अंगभूत आहे, ते तुमच्या डिव्हाइसवर प्रत्यक्षपणे उपस्थित आहे. सर्व्हरच्या बाजूने ते बदलले जाऊ शकत नाही. डिव्हाइसवरील OS किंवा फर्मवेअरचे सक्तीचे अद्यतन आवश्यक आहे.

सुरक्षा विशेषज्ञ स्कॉट हेल्मे तो लिहितो, की मुख्य समस्या Let's Encrypt प्रमाणन प्राधिकरणासह उद्भवतील, कारण आज ते इंटरनेटवर सर्वात लोकप्रिय CA आहे आणि त्याचे मूळ प्रमाणपत्र लवकरच खराब होईल. लेट्स एनक्रिप्ट रूट बदलणे 8 जुलै 2020 रोजी नियोजित.

प्रमाणन प्राधिकरण (CA) चे अंतिम आणि मध्यवर्ती प्रमाणपत्रे क्लायंटला सर्व्हरवरून वितरित केले जातात आणि मूळ प्रमाणपत्र क्लायंटकडून आहे यापूर्वीच, त्यामुळे प्रमाणपत्रांच्या या संग्रहाद्वारे एखादी साखळी तयार करू शकते आणि वेबसाइट प्रमाणीकृत करू शकते.

समस्या अशी आहे की प्रत्येक प्रमाणपत्राची कालबाह्यता तारीख असते, त्यानंतर ते बदलणे आवश्यक आहे. उदाहरणार्थ, 1 सप्टेंबर 2020 पासून, सफारी ब्राउझरमध्ये सर्व्हर TLS प्रमाणपत्रांच्या वैधता कालावधीवर मर्यादा आणण्याची त्यांची योजना आहे. कमाल ३९८ दिवस.

याचा अर्थ असा की आम्हा सर्वांना आमची सर्व्हर प्रमाणपत्रे किमान दर 12 महिन्यांनी बदलावी लागतील. हे निर्बंध फक्त सर्व्हर प्रमाणपत्रांवर लागू होते; ते नाही रूट CA प्रमाणपत्रांना लागू होते.

CA प्रमाणपत्रे वेगवेगळ्या नियमांद्वारे नियंत्रित केली जातात आणि त्यामुळे त्यांची वैधता मर्यादा वेगळी असते. 5 वर्षांच्या वैधता कालावधीसह इंटरमीडिएट प्रमाणपत्रे आणि अगदी 25 वर्षांच्या सेवा आयुष्यासह मूळ प्रमाणपत्रे शोधणे खूप सामान्य आहे!

इंटरमीडिएट प्रमाणपत्रांमध्ये सहसा कोणतीही समस्या नसते, कारण ते क्लायंटला सर्व्हरद्वारे पुरवले जातात, जे स्वतःचे स्वतःचे प्रमाणपत्र अधिक वेळा बदलते, म्हणून ते प्रक्रियेत फक्त मध्यवर्ती प्रमाणपत्र बदलते. रूट CA प्रमाणपत्राच्या विपरीत, सर्व्हर प्रमाणपत्रासह ते बदलणे खूप सोपे आहे.

आम्ही आधीच म्हटल्याप्रमाणे, रूट CA थेट क्लायंट डिव्हाइसमध्ये, OS, ब्राउझर किंवा इतर सॉफ्टवेअरमध्ये तयार केले जाते. रूट CA बदलणे वेबसाइटच्या नियंत्रणाबाहेर आहे. यासाठी क्लायंटवर अपडेट आवश्यक आहे, मग ते OS किंवा सॉफ्टवेअर अपडेट असो.

काही रूट सीए बर्याच काळापासून आहेत, आम्ही 20-25 वर्षांपासून बोलत आहोत. लवकरच काही सर्वात जुने रूट CA त्यांच्या नैसर्गिक जीवनाच्या समाप्तीकडे जातील, त्यांची वेळ जवळजवळ संपली आहे. आपल्यापैकी बहुतेकांसाठी ही समस्या अजिबात होणार नाही कारण CA ने नवीन रूट प्रमाणपत्रे तयार केली आहेत आणि ते जगभरात OS आणि ब्राउझर अद्यतनांमध्ये अनेक वर्षांपासून वितरित केले गेले आहेत. परंतु जर एखाद्याने त्यांचे OS किंवा ब्राउझर बर्याच काळापासून अद्यतनित केले नसेल तर ही एक प्रकारची समस्या आहे.

ही परिस्थिती 30 मे 2020 रोजी 10:48:38 GMT वाजता आली. हीच नेमकी वेळ आहे जेव्हा AddTrust रूट प्रमाणपत्र कुजलेले आहे Comodo प्रमाणन प्राधिकरणाकडून (Sectigo).

त्‍यांच्‍या स्‍टोअरमध्‍ये नवीन USERTrust रूट प्रमाणपत्र नसल्‍या लेगेसी डिव्‍हाइसेससह सुसंगतता सुनिश्चित करण्‍यासाठी याचा वापर क्रॉस-साइनिंगसाठी केला गेला.

दुर्दैवाने, समस्या केवळ लीगेसी ब्राउझरमध्येच नाही तर OpenSSL 1.0.x, LibreSSL आणि वर आधारित नॉन-ब्राउझर क्लायंटमध्ये देखील उद्भवल्या. gnuTLS. उदाहरणार्थ, सेट-टॉप बॉक्समध्ये वर्ष, सेवा हरोकू, Fortinet मध्ये, Linux साठी .NET Core 2.0 प्लॅटफॉर्मवर, चार्जिफाय ऍप्लिकेशन्स आणि इतर अनेक.

असे गृहीत धरले गेले होते की समस्या केवळ लीगेसी सिस्टमवर परिणाम करेल (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, इ.), कारण आधुनिक ब्राउझर दुसरे USERTRust रूट प्रमाणपत्र वापरू शकतात. परंतु खरेतर, मोफत OpenSSL 1.0.x आणि GnuTLS लायब्ररी वापरणाऱ्या शेकडो वेब सेवांमध्ये अपयश येऊ लागले. प्रमाणपत्र कालबाह्य झाल्याचे दर्शवणाऱ्या त्रुटी संदेशासह सुरक्षित कनेक्शन यापुढे स्थापित केले जाऊ शकत नाही.

पुढे - चला एन्क्रिप्ट करू

आगामी रूट CA बदलाचे आणखी एक चांगले उदाहरण म्हणजे लेट्स एनक्रिप्ट प्रमाणपत्र प्राधिकरण. अधिक एप्रिल 2019 मध्ये त्यांनी आयडेंटरस्ट चेनमधून त्यांच्या स्वतःच्या ISRG रूट चेनवर स्विच करण्याची योजना आखली, परंतु हे झाले नाही.

"Android डिव्हाइसेसवर ISRG रूटचा अवलंब न करण्याच्या चिंतेमुळे, आम्ही मूळ रूट संक्रमण तारीख 8 जुलै 2019 ते 8 जुलै 2020 हलवण्याचा निर्णय घेतला आहे," लेट्स एन्क्रिप्टने एका निवेदनात म्हटले आहे.

रूट CA सर्व क्लायंटमध्ये मोठ्या प्रमाणात वितरीत केले जात नसताना, “रूट प्रोपगेशन” किंवा अधिक तंतोतंत, रूट प्रसाराच्या अभावामुळे तारीख पुढे ढकलणे आवश्यक होते.

लेट्स एनक्रिप्ट सध्या आयडनट्रस्ट डीएसटी रूट CA X3 ला जोडलेले क्रॉस-साइन केलेले इंटरमीडिएट प्रमाणपत्र वापरते. हे मूळ प्रमाणपत्र सप्टेंबर 2000 मध्ये परत जारी केले गेले आणि 30 सप्टेंबर 2021 रोजी कालबाह्य होईल. तोपर्यंत, चला एनक्रिप्ट स्वतःच्या स्वाक्षरी केलेल्या ISRG रूट X1 वर स्थलांतरित करण्याची योजना आखत आहे.

ISRG रूट 4 जून 2015 रोजी रिलीज झाला. यानंतर, प्रमाणन प्राधिकरण म्हणून त्याच्या मंजुरीची प्रक्रिया सुरू झाली, जी संपली वर्षाच्या 6 ऑगस्ट 2018. या क्षणापासून, रूट CA सर्व क्लायंटसाठी ऑपरेटिंग सिस्टम किंवा सॉफ्टवेअर अपडेटद्वारे उपलब्ध होते. तुम्हाला फक्त अपडेट इन्स्टॉल करायचे होते.

पण हीच समस्या आहे.

जर तुमचा मोबाईल फोन, टीव्ही किंवा इतर उपकरण दोन वर्षांपासून अपडेट केले गेले नसेल, तर नवीन ISRG Root X1 रूट प्रमाणपत्र कसे कळेल? आणि जर तुम्ही ते सिस्टीमवर स्थापित केले नाही, तर लेट्स एनक्रिप्ट नवीन रूटवर स्विच होताच तुमचे डिव्हाइस सर्व लेट्स एनक्रिप्ट सर्व्हर प्रमाणपत्रे अवैध करेल. आणि Android इकोसिस्टममध्ये बरीच जुनी उपकरणे आहेत जी बर्याच काळापासून अद्यतनित केलेली नाहीत.

Android इकोसिस्टम

म्हणूनच चला एन्क्रिप्टला त्याच्या स्वतःच्या ISRG रूटवर जाण्यास उशीर झाला आणि तरीही एक इंटरमीडिएट वापरतो जो IdenTrust रूटवर जातो. परंतु संक्रमण कोणत्याही परिस्थितीत करावे लागेल. आणि रूट बदलाची तारीख नियुक्त केली आहे वर्षाच्या 8 जुलै 2020.

तुमच्या डिव्हाइसवर (टीव्ही, सेट-टॉप बॉक्स किंवा इतर क्लायंट) ISRG X1 रूट इन्स्टॉल आहे हे तपासण्यासाठी, चाचणी साइट उघडा. https://valid-isrgrootx1.letsencrypt.org/. कोणतीही सुरक्षा चेतावणी दिसत नसल्यास, सर्वकाही सामान्यतः ठीक आहे.

लेट्स एनक्रिप्ट हे एकटेच नवीन रूटवर स्थलांतरित होण्याचे आव्हान नाही. इंटरनेटवर क्रिप्टोग्राफीचा वापर फक्त 20 वर्षांपूर्वी केला जाऊ लागला, त्यामुळे आता अशी वेळ आली आहे जेव्हा अनेक मूळ प्रमाणपत्रे कालबाह्य होणार आहेत.

अनेक वर्षांपासून स्मार्ट टीव्ही सॉफ्टवेअर अपडेट न केलेल्या स्मार्ट टीव्हीच्या मालकांना ही समस्या येऊ शकते. उदाहरणार्थ, नवीन ग्लोबलसाइन रूट R5 रूट 2012 मध्ये रिलीझ झाले होते, आणि काही जुन्या स्मार्ट टीव्ही नंतर त्याला साखळी तयार करू शकत नाहीत, कारण त्यांच्याकडे हे रूट CA नाही. विशेषतः, हे क्लायंट bbc.co.uk वेबसाइटवर सुरक्षित कनेक्शन स्थापित करू शकले नाहीत. समस्येचे निराकरण करण्यासाठी, बीबीसी प्रशासकांना एक युक्ती वापरावी लागली: ते आम्ही या ग्राहकांसाठी पर्यायी साखळी तयार केली आहे जुन्या मुळे वापरून अतिरिक्त इंटरमीडिएट प्रमाणपत्रांद्वारे R3 रूट и R1 रूट, जे अद्याप कुजलेले नाहीत.

www.bbc.co.uk (Leaf) GlobalSign ECC OV SSL CA 2018 (इंटरमीडिएट) ग्लोबलसाइन रूट CA - R5 (इंटरमीडिएट) ग्लोबलसाइन रूट CA - R3 (मध्यवर्ती)

हा तात्पुरता उपाय आहे. क्लायंट सॉफ्टवेअर अपडेट केल्याशिवाय समस्या दूर होणार नाही. एक स्मार्ट टीव्ही अनिवार्यपणे लिनक्स चालवणारा मर्यादित-कार्यक्षमता संगणक आहे. आणि अद्यतनांशिवाय, त्याची मूळ प्रमाणपत्रे अपरिहार्यपणे खराब होतील.

हे फक्त टीव्हीच नव्हे तर सर्व उपकरणांना लागू होते. आपल्याकडे इंटरनेटशी कनेक्ट केलेले कोणतेही डिव्हाइस असल्यास आणि "स्मार्ट" डिव्हाइस म्हणून जाहिरात केली गेली असल्यास, कुजलेल्या प्रमाणपत्रांची समस्या जवळजवळ निश्चितच संबंधित आहे. डिव्हाइस अपडेट न केल्यास, रूट CA स्टोअर कालांतराने कालबाह्य होईल आणि शेवटी समस्या समोर येईल. रूट स्टोअर शेवटचे केव्हा अपडेट केले गेले यावर किती लवकर समस्या येते यावर अवलंबून असते. हे डिव्हाइसच्या वास्तविक रिलीझ तारखेच्या कित्येक वर्षे आधी असू शकते.

तसे, ही समस्या आहे की काही मोठे मीडिया प्लॅटफॉर्म लेट्स एनक्रिप्ट सारख्या आधुनिक स्वयंचलित प्रमाणपत्र प्राधिकरणे का वापरू शकत नाहीत, असे स्कॉट हेल्मे लिहितात. ते स्मार्ट टीव्हीसाठी योग्य नाहीत आणि लेगसी उपकरणांवर प्रमाणपत्र समर्थनाची हमी देण्यासाठी रूट्सची संख्या खूपच कमी आहे. अन्यथा, टीव्ही आधुनिक स्ट्रीमिंग सेवा सुरू करू शकणार नाही.

AddTrust सोबतच्या ताज्या घटनेने हे दाखवून दिले आहे की मोठ्या IT कंपन्या देखील मूळ प्रमाणपत्राची मुदत संपत असल्याबद्दल तयार नाहीत.

समस्येवर एकच उपाय आहे - अद्यतन. स्मार्ट उपकरणांच्या विकसकांनी सॉफ्टवेअर आणि रूट प्रमाणपत्रे अद्ययावत करण्यासाठी एक यंत्रणा आधीच प्रदान करणे आवश्यक आहे. दुसरीकडे, वॉरंटी कालावधी संपल्यानंतर उत्पादकांना त्यांच्या डिव्हाइसचे ऑपरेशन सुनिश्चित करणे फायदेशीर नाही.

स्त्रोत: www.habr.com