TLS-ALPN-2 कार्यान्वयनमा समस्याहरूको कारणले 01 मिलियन प्रमाणपत्रहरू इन्क्रिप्ट गर्नुहोस्

Let's Encrypt, एक गैर-नाफा प्रमाणपत्र प्राधिकरण जुन समुदायद्वारा नियन्त्रित छ र सबैलाई नि:शुल्क प्रमाणपत्रहरू प्रदान गर्दछ, लगभग २० लाख TLS प्रमाणपत्रहरूको प्रारम्भिक खारेजीको घोषणा गर्‍यो, जुन यस प्रमाणीकरण प्राधिकरणका सबै सक्रिय प्रमाणपत्रहरूको लगभग 1% हो। TLS-ALPN-01 एक्सटेन्सन (RFC 7301, Application-layer Protocol Negociation) को कार्यान्वयनको साथ Let's Encrypt मा प्रयोग गरिएको कोडमा निर्दिष्टीकरण आवश्यकताहरूको पालना नगरेको पहिचानको कारणले प्रमाणपत्रहरूको रद्दीकरण सुरु गरिएको थियो। HTTP/2 मा प्रयोग गरिएको ALPN TLS एक्सटेन्सनमा आधारित जडान वार्ता प्रक्रियाको क्रममा प्रदर्शन गरिएका केही जाँचहरूको अनुपस्थितिको कारणले विसंगति भएको हो। घटनाको विस्तृत विवरण समस्याग्रस्त प्रमाणपत्रहरू खारेज गरेपछि प्रकाशित गरिनेछ।

जनवरी 26 मा 03:48 (MSK) मा समस्या समाधान गरिएको थियो, तर प्रमाणीकरणका लागि TLS-ALPN-01 विधि प्रयोग गरी जारी गरिएका सबै प्रमाणपत्रहरू अमान्य हुने निर्णय गरियो। प्रमाणपत्र रद्द गर्न जनवरी 28 मा 19:00 (MSK) मा सुरु हुनेछ। यस समय सम्म, TLS-ALPN-01 प्रमाणीकरण विधि प्रयोग गर्ने प्रयोगकर्ताहरूलाई उनीहरूको प्रमाणपत्रहरू अद्यावधिक गर्न सल्लाह दिइन्छ, अन्यथा तिनीहरू चाँडै अमान्य हुनेछन्।

प्रमाणपत्रहरू अद्यावधिक गर्न आवश्यकता बारे सान्दर्भिक सूचनाहरू इमेल मार्फत पठाइन्छ। प्रमाणपत्र प्राप्त गर्न Certbot र dehydrated उपकरणहरू प्रयोग गर्ने प्रयोगकर्ताहरू पूर्वनिर्धारित सेटिङहरू प्रयोग गर्दा समस्याबाट प्रभावित भएनन्। TLS-ALPN-01 विधि Caddy, Traefik, apache mod_md र autocert प्याकेजहरूमा समर्थित छ। तपाईंले समस्याग्रस्त प्रमाणपत्रहरूको सूचीमा पहिचानकर्ताहरू, क्रम संख्याहरू वा डोमेनहरू खोजी गरेर आफ्नो प्रमाणपत्रहरूको शुद्धता जाँच गर्न सक्नुहुन्छ।

TLS-ALPN-01 विधि प्रयोग गरेर जाँच गर्दा परिवर्तनहरूले व्यवहारलाई असर गर्ने भएकोले, ACME क्लाइन्ट अपडेट गर्दा वा सेटिङहरू परिवर्तन गर्दा (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik) काम जारी राख्न आवश्यक हुन सक्छ। परिवर्तनहरूमा 1.2 भन्दा कम TLS संस्करणहरूको प्रयोग समावेश छ (ग्राहकहरूले अब TLS 1.1 प्रयोग गर्न सक्ने छैनन्) र OID 1.3.6.1.5.5.7.1.30.1 को ह्रास, जुन अप्रचलित acmeIdentifier विस्तारलाई पहिचान गर्दछ, पहिले मात्र समर्थित। RFC 8737 निर्दिष्टीकरणको ड्राफ्टहरू (प्रमाणपत्र उत्पन्न गर्दा, अब OID 1.3.6.1.5.5.7.1.31 लाई मात्र अनुमति छ, र OID 1.3.6.1.5.5.7.1.30.1 प्रयोग गर्ने ग्राहकहरूले प्रमाणपत्र प्राप्त गर्न सक्ने छैनन्)।

स्रोत: opennet.ru