NPM रेपॉजिटरी TLS 1.0 आणि 1.1 साठी समर्थन कमी करत आहे

GitHub ने NPM पॅकेज रिपॉजिटरी आणि npmjs.com सह NPM पॅकेज मॅनेजरशी संबंधित सर्व साइट्समधील TLS 1.0 आणि 1.1 साठी समर्थन बंद करण्याचा निर्णय घेतला आहे. 4 ऑक्‍टोबरपासून, रेपॉजिटरीशी जोडण्‍यासाठी, पॅकेजेस इन्‍स्‍टॉल करण्‍यासाठी, किमान TLS 1.2 चे समर्थन करणार्‍या क्लायंटची आवश्‍यकता असेल. GitHub वरच, TLS 1.0/1.1 चे समर्थन फेब्रुवारी 2018 मध्ये परत बंद करण्यात आले. हेतू त्याच्या सेवांच्या सुरक्षिततेसाठी आणि वापरकर्त्याच्या डेटाच्या गोपनीयतेसाठी चिंतेचा असल्याचे म्हटले जाते. GitHub नुसार, NPM रेपॉजिटरीला सुमारे 99% विनंत्या आधीच TLS 1.2 किंवा 1.3 वापरून केल्या आहेत आणि Node.js ने 1.2 पासून TLS 2013 साठी समर्थन समाविष्ट केले आहे (रिलीझ 0.10 पासून), त्यामुळे बदलाचा फक्त एक लहान भाग प्रभावित होईल वापरकर्ते

आम्हाला आठवू द्या की TLS 1.0 आणि 1.1 प्रोटोकॉल अधिकृतपणे IETF (इंटरनेट इंजिनियरिंग टास्क फोर्स) द्वारे अप्रचलित तंत्रज्ञान म्हणून वर्गीकृत केले गेले आहेत. TLS 1.0 तपशील जानेवारी 1999 मध्ये प्रकाशित झाले. सात वर्षांनंतर, TLS 1.1 अपडेट इनिशिएलायझेशन व्हेक्टर आणि पॅडिंगच्या निर्मितीशी संबंधित सुरक्षा सुधारणांसह जारी केले गेले. TLS 1.0/1.1 च्या मुख्य समस्यांपैकी आधुनिक सिफरसाठी समर्थनाचा अभाव आहे (उदाहरणार्थ, ECDHE आणि AEAD) आणि जुन्या सिफरला समर्थन देण्यासाठी आवश्यकतेची उपस्थिती, ज्याच्या विश्वासार्हतेवर सध्याच्या टप्प्यावर प्रश्नचिन्ह आहे. संगणकीय तंत्रज्ञानाचा विकास (उदाहरणार्थ, अखंडता तपासण्यासाठी TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA साठी समर्थन आवश्यक आहे आणि प्रमाणीकरण MD5 आणि SHA-1 वापरते). कालबाह्य अल्गोरिदमच्या समर्थनामुळे आधीच ROBOT, DROWN, BEAST, Logjam आणि FREAK सारखे हल्ले झाले आहेत. तथापि, या समस्या थेट प्रोटोकॉल असुरक्षा मानल्या गेल्या नाहीत आणि त्याच्या अंमलबजावणीच्या स्तरावर सोडवल्या गेल्या. TLS 1.0/1.1 प्रोटोकॉलमध्ये स्वतःच गंभीर असुरक्षा नसतात ज्यांचा व्यावहारिक हल्ले करण्यासाठी उपयोग केला जाऊ शकतो.

स्त्रोत: opennet.ru