वेबसाइट प्रमाणीकरण गर्न ब्राउजरको लागि, यसले आफैलाई मान्य प्रमाणपत्र श्रृंखलाको साथ प्रस्तुत गर्दछ। एउटा सामान्य चेन माथि देखाइएको छ, र त्यहाँ एक भन्दा बढी मध्यवर्ती प्रमाणपत्र हुन सक्छ। वैध श्रृंखलामा प्रमाणपत्रहरूको न्यूनतम संख्या तीन हो।

मूल प्रमाणपत्र प्रमाणपत्र प्राधिकरणको हृदय हो। यो शाब्दिक रूपमा तपाईंको OS वा ब्राउजरमा निर्मित छ, यो भौतिक रूपमा तपाईंको उपकरणमा अवस्थित छ। यसलाई सर्भर साइडबाट परिवर्तन गर्न सकिँदैन। यन्त्रमा OS वा फर्मवेयरको बलियो अपडेट आवश्यक छ।

सुरक्षा विशेषज्ञ स्कट हेल्मे तिनी लेख्छन्, कि मुख्य समस्याहरू Let's Encrypt प्रमाणीकरण प्राधिकरणसँग उत्पन्न हुनेछ, किनकि आज यो इन्टरनेटमा सबैभन्दा लोकप्रिय CA हो, र यसको मूल प्रमाणपत्र चाँडै खराब हुनेछ। चलो एन्क्रिप्ट रूट परिवर्तन गर्दै जुलाई 8, 2020 को लागि निर्धारित.

प्रमाणीकरण प्राधिकरण (CA) को अन्त र मध्यवर्ती प्रमाणपत्रहरू सर्भरबाट ग्राहकलाई डेलिभर गरिन्छ, र मूल प्रमाणपत्र ग्राहकबाट हो। पहिले नै छ, त्यसैले प्रमाणपत्रहरूको यो सङ्कलनले एउटा चेन बनाउन र वेबसाइट प्रमाणीकरण गर्न सक्छ।

समस्या यो हो कि प्रत्येक प्रमाणपत्रको म्याद सकिने मिति छ, जस पछि यसलाई प्रतिस्थापन गर्न आवश्यक छ। उदाहरणका लागि, सेप्टेम्बर 1, 2020 देखि, तिनीहरूले सफारी ब्राउजरमा सर्भर TLS प्रमाणपत्रहरूको वैधता अवधिमा सीमितता लागू गर्ने योजना बनाएका छन्। अधिकतम 398 दिन.

यसको मतलब हामी सबैले कम्तिमा प्रत्येक १२ महिनामा हाम्रो सर्भर प्रमाणपत्रहरू प्रतिस्थापन गर्नुपर्नेछ। यो प्रतिबन्ध केवल सर्भर प्रमाणपत्रहरूमा लागू हुन्छ; यो छैन रूट CA प्रमाणपत्रहरूमा लागू हुन्छ।

CA प्रमाणपत्रहरू नियमहरूको फरक सेटद्वारा शासित हुन्छन् र त्यसैले तिनीहरूको वैधता सीमाहरू फरक हुन्छन्। ५ वर्षको वैधता अवधि भएका मध्यवर्ती प्रमाणपत्रहरू र २५ वर्षको सेवा जीवनका मूल प्रमाणपत्रहरू फेला पार्नु धेरै सामान्य कुरा हो!

त्यहाँ सामान्यतया मध्यवर्ती प्रमाणपत्रहरूसँग कुनै समस्या हुँदैन, किनकि तिनीहरू सर्भरद्वारा ग्राहकलाई आपूर्ति गरिन्छ, जसले आफैंले आफ्नो प्रमाणपत्र धेरै पटक परिवर्तन गर्दछ, त्यसैले यसले प्रक्रियामा मध्यवर्तीलाई मात्र प्रतिस्थापन गर्दछ। रूट CA प्रमाणपत्रको विपरीत, सर्भर प्रमाणपत्रको साथ यसलाई प्रतिस्थापन गर्न धेरै सजिलो छ।

हामीले पहिले नै भनेझैं, रूट CA सीधा क्लाइन्ट उपकरणमा निर्मित छ, ओएस, ब्राउजर वा अन्य सफ्टवेयरमा। रूट CA परिवर्तन वेबसाइटको नियन्त्रण बाहिर छ। यसका लागि क्लाइन्टमा अपडेट चाहिन्छ, यो OS वा सफ्टवेयर अपडेट होस्।

केहि रूट CA हरू धेरै लामो समयको लागि वरिपरि छन्, हामी 20-25 वर्षको बारेमा कुरा गर्दैछौं। चाँडै केही पुरानो रूट CAहरू तिनीहरूको प्राकृतिक जीवनको अन्त्यमा पुग्नेछन्, तिनीहरूको समय लगभग सकिएको छ। हामी मध्ये धेरैको लागि यो कुनै समस्या हुनेछैन किनभने CAs ले नयाँ रूट प्रमाणपत्रहरू सिर्जना गरेका छन् र तिनीहरू धेरै वर्षदेखि OS र ब्राउजर अपडेटहरूमा विश्वभर वितरण गरिएका छन्। तर यदि कसैले लामो समयदेखि आफ्नो ओएस वा ब्राउजर अपडेट गरेको छैन भने, यो एक प्रकारको समस्या हो।

यो अवस्था मे 30, 2020 मा 10:48:38 GMT मा भयो। यो सही समय हो जब AddTrust मूल प्रमाणपत्र सडेको छ Comodo प्रमाणीकरण प्राधिकरण (Sectigo) बाट।

यसलाई आफ्नो स्टोरमा नयाँ USERTrust रूट प्रमाणपत्र नभएका लेगेसी उपकरणहरूसँग अनुकूलता सुनिश्चित गर्न क्रस-साइनिङको लागि प्रयोग गरिएको थियो।

दुर्भाग्यवश, समस्याहरू लिगेसी ब्राउजरहरूमा मात्र नभई OpenSSL 1.0.x, LibreSSL र गैर-ब्राउजर क्लाइन्टहरूमा पनि उत्पन्न भयो। gnuTLS। उदाहरणका लागि, सेट-टप बक्सहरूमा वर्ष, सेवा हिरोकू, फोर्टिनेटमा, लिनक्सका लागि .NET Core 2.0 प्लेटफर्ममा, चार्जिफाई अनुप्रयोगहरू र धेरै अन्य.

आधुनिक ब्राउजरहरूले दोस्रो USERTRust रूट प्रमाणपत्र प्रयोग गर्न सक्ने भएकाले यो समस्याले लिगेसी प्रणालीहरू (एन्ड्रोइड 2.3, Windows XP, Mac OS X 10.11, iOS 9, इत्यादि) लाई मात्र असर गर्ने अनुमान गरिएको थियो। तर वास्तवमा, नि:शुल्क OpenSSL 1.0.x र GnuTLS पुस्तकालयहरू प्रयोग गर्ने सयौं वेब सेवाहरूमा विफलताहरू सुरु भयो। प्रमाणपत्र पुरानो भएको संकेत गर्ने त्रुटि सन्देशको साथ अब सुरक्षित जडान स्थापना गर्न सकिँदैन।

अर्को - एन्क्रिप्ट गरौं

आगामी रूट CA परिवर्तनको अर्को राम्रो उदाहरण Let's Encrypt प्रमाणपत्र प्राधिकरण हो। थप अप्रिल 2019 मा तिनीहरूले Identrust चेनबाट आफ्नै ISRG रूट चेनमा स्विच गर्ने योजना बनाए, तर यो भएको छैन.

"एन्ड्रोइड उपकरणहरूमा ISRG रूट को अपनाउनु को कमी को बारे मा चिन्ता को कारण, हामीले नेटिभ रूट ट्रान्जिसन मिति जुलाई 8, 2019 बाट जुलाई 8, 2020 सार्न निर्णय गरेका छौं," Let's Encrypt ले एक विज्ञप्तिमा भन्यो।

रूट CA सबै क्लाइन्टहरूमा धेरै व्यापक रूपमा वितरित नभएको बेला, "रूट प्रोपेगेशन" भनिने समस्याको कारण, वा अझ स्पष्ट रूपमा, रूट प्रचारको कमीको कारणले मिति स्थगित गर्नुपर्यो।

Encrypt ले हाल IdenTrust DST Root CA X3 मा चेन गरिएको क्रस-साइन गरिएको मध्यवर्ती प्रमाणपत्र प्रयोग गर्छ। यो मूल प्रमाणपत्र सेप्टेम्बर 2000 मा फिर्ता जारी गरिएको थियो र सेप्टेम्बर 30, 2021 मा समाप्त हुन्छ। त्यतिन्जेल, एन्क्रिप्टले आफ्नै स्व-हस्ताक्षरित ISRG रूट X1 मा माइग्रेट गर्ने योजना बनाउँछ।

ISRG रूट जुन 4, 2015 मा जारी भयो। यस पछि, प्रमाणीकरण प्राधिकरणको रूपमा यसको स्वीकृतिको प्रक्रिया सुरु भयो, जुन समाप्त भयो 6 अगस्त 2018 वर्षको। यस बिन्दुबाट, रूट CA अपरेटिङ सिस्टम वा सफ्टवेयर अपडेट मार्फत सबै ग्राहकहरूको लागि उपलब्ध थियो। तपाईले गर्नु पर्ने सबै अपडेट स्थापना गर्नु थियो।

तर समस्या यही हो।

यदि तपाईंको मोबाइल फोन, टिभी वा अन्य उपकरण दुई वर्षदेखि अद्यावधिक गरिएको छैन भने, नयाँ ISRG Root X1 रूट प्रमाणपत्रको बारेमा कसरी थाहा पाउनेछ? र यदि तपाइँ यसलाई प्रणालीमा स्थापना गर्नुहुन्न भने, तपाइँको उपकरणले सबै Let's Encrypt सर्भर प्रमाणपत्रहरू रद्द गर्नेछ जब चाँडै Let's Encrypt ले नयाँ रूटमा स्विच गर्दछ। र एन्ड्रोइड इकोसिस्टममा त्यहाँ धेरै पुराना उपकरणहरू छन् जुन लामो समयदेखि अद्यावधिक गरिएको छैन।

एन्ड्रोइड इकोसिस्टम

यसैले एन्क्रिप्टले यसको आफ्नै ISRG रूटमा सार्न ढिलाइ गर्यो र अझै पनि एक मध्यवर्ती प्रयोग गर्दछ जुन IdenTrust रूटमा जान्छ। तर संक्रमण कुनै पनि हालतमा गर्नुपर्छ। र मूल परिवर्तनको मिति तोकिएको छ 8 जुलाई 2020 वर्ष.

तपाईको यन्त्र (टिभी, सेट-टप बक्स वा अन्य क्लाइन्ट) मा ISRG X1 रूट स्थापित छ भनेर जाँच गर्न, परीक्षण साइट खोल्नुहोस्। https://valid-isrgrootx1.letsencrypt.org/। यदि कुनै सुरक्षा चेतावनी देखा पर्दैन भने, तब सबै कुरा सामान्यतया ठीक हुन्छ।

आउनुहोस् एन्क्रिप्ट नयाँ रूटमा माइग्रेट गर्ने चुनौतीको सामना गर्ने एक मात्र होइन। इन्टरनेटमा क्रिप्टोग्राफी 20 वर्ष पहिले प्रयोग गर्न सुरु भयो, त्यसैले अब धेरै रूट प्रमाणपत्रहरूको म्याद सकिने समय हो।

धेरै वर्षदेखि स्मार्ट टिभी सफ्टवेयर अपडेट नगरेका स्मार्ट टिभीका मालिकहरूले यो समस्या सामना गर्न सक्छन्। उदाहरण को लागी, नयाँ ग्लोबल साइन रूट R5 रूट २०१२ मा रिलिज भएको थियो, र केही पुराना स्मार्ट टिभीहरूले यसलाई चेन बनाउन सक्दैनन्, किनभने तिनीहरूसँग यो रूट CA छैन। विशेष गरी, यी ग्राहकहरूले bbc.co.uk वेबसाइटमा सुरक्षित जडान स्थापना गर्न असमर्थ थिए। समस्या समाधान गर्न, बीबीसी प्रशासकहरूले एउटा चालको सहारा लिनुपरेको थियो: तिनीहरू हामीले यी ग्राहकहरूको लागि वैकल्पिक चेन बनायौं पुरानो जरा प्रयोग गरेर अतिरिक्त मध्यवर्ती प्रमाणपत्रहरू मार्फत R3 रूट и R1 रूटजुन अझै सडेका छैनन् ।

www.bbc.co.uk (Leaf) GlobalSign ECC OV SSL CA 2018 (मध्यवर्ती) GlobalSign Root CA - R5 (Intermediate) GlobalSign Root CA - R3 (मध्यवर्ती)

यो एक अस्थायी समाधान हो। तपाईले क्लाइन्ट सफ्टवेयर अपडेट नगरेसम्म समस्या हट्ने छैन। एक स्मार्ट टिभी अनिवार्य रूपमा लिनक्स चलाउने सीमित-कार्यक्षमता कम्प्युटर हो। र अद्यावधिक बिना, यसको मूल प्रमाणपत्रहरू अनिवार्य रूपमा सडेका हुनेछन्।

यो सबै यन्त्रहरूमा लागू हुन्छ, न केवल टिभीहरूमा। यदि तपाइँसँग इन्टरनेटमा जडान भएको कुनै उपकरण छ र त्यो "स्मार्ट" उपकरणको रूपमा विज्ञापित गरिएको थियो, तब सडेका प्रमाणपत्रहरूको समस्याले लगभग निश्चित रूपमा चिन्ता गर्दछ। यदि उपकरण अद्यावधिक गरिएको छैन भने, रूट CA स्टोर समयको साथ पुरानो हुनेछ र अन्ततः समस्या सतह हुनेछ। समस्या कति चाँडो हुन्छ त्यसमा निर्भर हुन्छ जब रूट स्टोर अन्तिम पटक अद्यावधिक गरिएको थियो। यो यन्त्रको वास्तविक रिलीज मिति भन्दा धेरै वर्ष अघि हुन सक्छ।

वैसे, यो समस्या हो किन केहि ठूला मिडिया प्लेटफर्महरूले आधुनिक स्वचालित प्रमाणपत्र प्राधिकरणहरू प्रयोग गर्न सक्दैनन् जस्तै Let's Encrypt, स्कट हेल्मे लेख्छन्। तिनीहरू स्मार्ट टिभीहरूको लागि उपयुक्त छैनन्, र विरासत उपकरणहरूमा प्रमाणपत्र समर्थन ग्यारेन्टी गर्न जराहरूको संख्या धेरै सानो छ। अन्यथा, टिभीले मात्र आधुनिक स्ट्रिमिङ सेवाहरू सुरू गर्न सक्षम हुनेछैन।

AddTrust सँगको पछिल्लो घटनाले देखाएको छ कि ठूला आईटी कम्पनीहरू पनि मूल प्रमाणपत्रको म्याद सकिने तथ्यका लागि तयार छैनन्।

त्यहाँ समस्याको एक मात्र समाधान छ - अपडेट। स्मार्ट यन्त्रहरूका विकासकर्ताहरूले सफ्टवेयर र मूल प्रमाणपत्रहरू पहिले नै अद्यावधिक गर्ने संयन्त्र प्रदान गर्नुपर्छ। अर्कोतर्फ, वारेन्टी अवधि समाप्त भएपछि निर्माताहरूलाई तिनीहरूको उपकरणहरूको सञ्चालन सुनिश्चित गर्न लाभदायक छैन।

स्रोत: www.habr.com