चला TLS-ALPN-2 अंमलबजावणीतील समस्यांमुळे 01 दशलक्ष प्रमाणपत्रे कूटबद्ध करा

Let's Encrypt, एक ना-नफा प्रमाणपत्र प्राधिकरण जो समुदायाद्वारे नियंत्रित आहे आणि प्रत्येकाला विनामूल्य प्रमाणपत्रे प्रदान करतो, अंदाजे दोन दशलक्ष TLS प्रमाणपत्रे लवकर रद्द करण्याची घोषणा केली, जी या प्रमाणन प्राधिकरणाच्या सर्व सक्रिय प्रमाणपत्रांपैकी सुमारे 1% आहे. TLS-ALPN-01 एक्स्टेंशन (RFC 7301, Application-layer Protocol Negotiation) च्या अंमलबजावणीसह Let's Encrypt मध्ये वापरलेल्या कोडमधील विनिर्देश आवश्यकतांचे पालन न केल्याची ओळख झाल्यामुळे प्रमाणपत्रांचे रद्दीकरण सुरू करण्यात आले. HTTP/2 मध्ये वापरलेल्या ALPN TLS विस्तारावर आधारित कनेक्शन वाटाघाटी प्रक्रियेदरम्यान केलेल्या काही तपासण्यांच्या अनुपस्थितीमुळे ही विसंगती होती. समस्याग्रस्त प्रमाणपत्रे रद्द करण्याचे काम पूर्ण झाल्यानंतर घटनेची तपशीलवार माहिती प्रसिद्ध केली जाईल.

26 जानेवारी रोजी 03:48 (MSK) समस्येचे निराकरण करण्यात आले, परंतु सत्यापनासाठी TLS-ALPN-01 पद्धत वापरून जारी केलेली सर्व प्रमाणपत्रे अवैध ठरवण्यात आली. प्रमाणपत्र रद्द करणे 28 जानेवारी रोजी 19:00 वाजता सुरू होईल (MSK). या वेळेपर्यंत, TLS-ALPN-01 पडताळणी पद्धत वापरणाऱ्या वापरकर्त्यांना त्यांची प्रमाणपत्रे अपडेट करण्याचा सल्ला दिला जातो, अन्यथा ते लवकर अवैध केले जातील.

प्रमाणपत्रे अद्यतनित करण्याच्या आवश्यकतेबद्दल संबंधित सूचना ईमेलद्वारे पाठवल्या जातात. प्रमाणपत्र मिळवण्यासाठी Certbot आणि dehydrated टूल्स वापरणाऱ्या वापरकर्त्यांना डीफॉल्ट सेटिंग्ज वापरताना समस्येचा परिणाम झाला नाही. TLS-ALPN-01 पद्धत Caddy, Traefik, apache mod_md आणि autocert पॅकेजेसमध्ये समर्थित आहे. समस्याप्रधान प्रमाणपत्रांच्या सूचीमध्ये ओळखकर्ता, अनुक्रमांक किंवा डोमेन शोधून तुम्ही तुमच्या प्रमाणपत्रांची शुद्धता तपासू शकता.

TLS-ALPN-01 पद्धत वापरून तपासताना बदलांचा वर्तनावर परिणाम होत असल्याने, ACME क्लायंट अपडेट करणे किंवा सेटिंग्ज बदलणे (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik) काम सुरू ठेवण्यासाठी आवश्यक असू शकते. बदलांमध्ये 1.2 पेक्षा कमी नसलेल्या TLS आवृत्त्यांचा समावेश आहे (क्लायंट यापुढे TLS 1.1 वापरण्यास सक्षम राहणार नाहीत) आणि OID 1.3.6.1.5.5.7.1.30.1 साठी समर्थन बंद करणे, जे अप्रचलित acmeIdentifier विस्तार ओळखते, फक्त समर्थित RFC 8737 स्पेसिफिकेशनच्या पूर्वीच्या मसुद्यांमध्ये (प्रमाणपत्र तयार करताना, आता फक्त OID 1.3.6.1.5.5.7.1.31 ला परवानगी आहे, आणि OID 1.3.6.1.5.5.7.1.30.1 वापरणारे क्लायंट प्रमाणपत्र मिळवू शकणार नाहीत. ).

स्त्रोत: opennet.ru