IdenTrust रूट प्रमाणपत्राची मुदत संपल्याने जुन्या उपकरणांवर लेट्स एनक्रिप्टवरील विश्वास कमी होईल

मॉस्को वेळेनुसार 30 सप्टेंबर रोजी 17:01 वाजता, IdenTrust रूट प्रमाणपत्र (DST Root CA X3), जे लेट्स एन्क्रिप्ट प्रमाणन प्राधिकरण (ISRG रूट X1) च्या रूट प्रमाणपत्रावर क्रॉस-स्वाक्षरी करण्यासाठी वापरले होते, जे समुदायाद्वारे नियंत्रित आहे आणि प्रत्येकाला विनामूल्य प्रमाणपत्रे प्रदान करते, कालबाह्य होते. क्रॉस-स्वाक्षरीने हे सुनिश्चित केले की लेट्स एन्क्रिप्ट प्रमाणपत्रे विस्तृत उपकरणे, ऑपरेटिंग सिस्टम आणि ब्राउझरवर विश्वासार्ह आहेत तर लेट्स एन्क्रिप्टचे स्वतःचे मूळ प्रमाणपत्र रूट प्रमाणपत्र स्टोअरमध्ये एकत्रित केले गेले.

DST Root CA X3 चे अवमूल्यन केल्यानंतर, Let's Encrypt प्रकल्प फक्त त्याचे मूळ प्रमाणपत्र वापरून स्वाक्षरी निर्माण करण्यावर स्विच करेल असे नियोजित करण्यात आले होते, परंतु अशा हालचालीमुळे मोठ्या संख्येने जुन्या सिस्टीमसह सुसंगतता नष्ट होईल. लेट्स एनक्रिप्ट रूट प्रमाणपत्र त्यांच्या रेपॉजिटरीजमध्ये जोडा. विशेषतः, वापरात असलेल्या अंदाजे 30% Android डिव्हाइसेसमध्ये Let's Encrypt रूट प्रमाणपत्रावर डेटा नाही, ज्यासाठी समर्थन 7.1.1 च्या शेवटी रिलीज झालेल्या Android 2016 प्लॅटफॉर्मपासून सुरू होते.

लेट्स एन्क्रिप्टने नवीन क्रॉस-स्वाक्षरी करारामध्ये प्रवेश करण्याची योजना आखली नाही, कारण हे करारातील पक्षांवर अतिरिक्त जबाबदारी लादते, त्यांना स्वातंत्र्यापासून वंचित ठेवते आणि इतर प्रमाणन प्राधिकरणाच्या सर्व प्रक्रिया आणि नियमांचे पालन करण्याच्या दृष्टीने त्यांचे हात बांधतात. परंतु मोठ्या संख्येने Android डिव्हाइसेसवरील संभाव्य समस्यांमुळे, योजना सुधारित करण्यात आली. IdenTrust प्रमाणन प्राधिकरणासोबत एक नवीन करार संपन्न झाला, ज्याच्या चौकटीत पर्यायी क्रॉस-साइन केलेले Let's Encrypt इंटरमीडिएट प्रमाणपत्र तयार केले गेले. क्रॉस-स्वाक्षरी तीन वर्षांसाठी वैध असेल आणि आवृत्ती 2.3.6 पासून सुरू होणार्‍या Android डिव्हाइससाठी समर्थन कायम ठेवेल.

तथापि, नवीन मध्यवर्ती प्रमाणपत्रामध्ये इतर अनेक वारसा प्रणाली समाविष्ट नाहीत. उदाहरणार्थ, ३० सप्टेंबर रोजी DST Root CA X3 प्रमाणपत्र नापसंत झाल्यावर, Let's Encrypt प्रमाणपत्रे यापुढे असमर्थित फर्मवेअर आणि ऑपरेटिंग सिस्टीमवर स्वीकारली जाणार नाहीत ज्यांना ISRG Root X30 प्रमाणपत्र स्वहस्ते रूट प्रमाणपत्र स्टोअरमध्ये जोडणे आवश्यक आहे. . समस्या यांमध्ये प्रकट होतील:

• शाखा 1.0.2 पर्यंत OpenSSL समावेशी (शाखा 1.0.2 ची देखभाल डिसेंबर 2019 मध्ये बंद करण्यात आली होती);
• NSS < 3.26;
• Java 8 < 8u141, Java 7 < 7u151;
• विंडोज < XP SP3;
• macOS < 10.12.1;
• iOS < 10 (iPhone < 5);
• Android < 2.3.6;
• Mozilla Firefox <50;
• उबंटू <16.04;
• डेबियन < 8.

OpenSSL 1.0.2 च्या बाबतीत, समस्या एका बगमुळे उद्भवते जी क्रॉस-स्वाक्षरी केलेल्या प्रमाणपत्रांवर योग्यरित्या प्रक्रिया होण्यापासून प्रतिबंधित करते जर स्वाक्षरीसाठी वापरल्या जाणार्‍या मूळ प्रमाणपत्रांपैकी एक कालबाह्य झाले, जरी विश्वासाच्या इतर वैध साखळ्या राहिल्या तरीही. Sectigo (Comodo) प्रमाणन प्राधिकरणाकडून क्रॉस-साइन करण्यासाठी वापरलेले AddTrust प्रमाणपत्र अप्रचलित झाल्यानंतर गेल्या वर्षी ही समस्या प्रथम समोर आली. समस्येचा मुख्य मुद्दा असा आहे की OpenSSL ने सर्टिफिकेटला रेखीय साखळी म्हणून पार्स केले आहे, तर RFC 4158 नुसार, प्रमाणपत्र एकापेक्षा जास्त ट्रस्ट अँकरसह निर्देशित वितरित वर्तुळाकार आलेख दर्शवू शकते ज्याचा विचार करणे आवश्यक आहे.

OpenSSL 1.0.2 वर आधारित जुन्या वितरणाच्या वापरकर्त्यांना समस्येचे निराकरण करण्यासाठी तीन उपाय दिले जातात:

• IdenTrust DST Root CA X3 रूट प्रमाणपत्र मॅन्युअली काढून टाकले आणि स्टँड-अलोन (क्रॉस-स्वाक्षरी केलेले नाही) ISRG रूट X1 रूट प्रमाणपत्र स्थापित केले.
• openssl verify आणि s_client कमांड्स चालवताना, तुम्ही “--trusted_first” पर्याय निर्दिष्ट करू शकता.
• सर्व्हरवर स्वतंत्र रूट प्रमाणपत्र SRG रूट X1 द्वारे प्रमाणित प्रमाणपत्र वापरा, ज्यामध्ये क्रॉस-स्वाक्षरी नाही. या पद्धतीमुळे जुन्या Android क्लायंटसह सुसंगतता कमी होईल.

याव्यतिरिक्त, आम्ही लक्षात घेऊ शकतो की लेट्स एनक्रिप्ट प्रकल्पाने दोन अब्ज व्युत्पन्न प्रमाणपत्रांचा टप्पा पार केला आहे. गेल्या वर्षी फेब्रुवारीमध्ये एक अब्जाचा टप्पा गाठला होता. दररोज 2.2-2.4 दशलक्ष नवीन प्रमाणपत्रे तयार केली जातात. सक्रिय प्रमाणपत्रांची संख्या 192 दशलक्ष आहे (प्रमाणपत्र तीन महिन्यांसाठी वैध आहे) आणि सुमारे 260 दशलक्ष डोमेन कव्हर करतात (195 दशलक्ष डोमेन एका वर्षापूर्वी, 150 दशलक्ष दोन वर्षांपूर्वी, 60 दशलक्ष तीन वर्षांपूर्वी) समाविष्ट आहेत. फायरफॉक्स टेलिमेट्री सेवेच्या आकडेवारीनुसार, HTTPS द्वारे पृष्ठ विनंत्यांचा जागतिक वाटा 82% आहे (एक वर्षापूर्वी - 81%, दोन वर्षांपूर्वी - 77%, तीन वर्षांपूर्वी - 69%, चार वर्षांपूर्वी - 58%).

स्त्रोत: opennet.ru