IdenTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਪੁੱਗਣ ਨਾਲ ਪੁਰਾਣੀਆਂ ਡਿਵਾਈਸਾਂ 'ਤੇ Let's Encrypt ਵਿੱਚ ਭਰੋਸਾ ਖਤਮ ਹੋ ਜਾਵੇਗਾ

30 ਸਤੰਬਰ ਨੂੰ ਮਾਸਕੋ ਦੇ ਸਮੇਂ ਅਨੁਸਾਰ 17:01 ਵਜੇ, IdenTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ (DST ਰੂਟ CA X3), ਜਿਸਦੀ ਵਰਤੋਂ Let's Encrypt ਸਰਟੀਫਿਕੇਸ਼ਨ ਅਥਾਰਟੀ (ISRG Root X1) ਦੇ ਰੂਟ ਸਰਟੀਫਿਕੇਟ 'ਤੇ ਦਸਤਖਤ ਕਰਨ ਲਈ ਕੀਤੀ ਗਈ ਸੀ, ਜੋ ਕਿ ਕਮਿਊਨਿਟੀ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਹੈ ਅਤੇ ਹਰੇਕ ਨੂੰ ਮੁਫਤ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਮਿਆਦ ਪੁੱਗਦੀ ਹੈ। ਕ੍ਰਾਸ-ਦਸਤਖਤ ਨੇ ਇਹ ਯਕੀਨੀ ਬਣਾਇਆ ਕਿ Let's Encrypt ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਡਿਵਾਈਸਾਂ, ਓਪਰੇਟਿੰਗ ਸਿਸਟਮਾਂ ਅਤੇ ਬ੍ਰਾਊਜ਼ਰਾਂ ਦੀ ਇੱਕ ਵਿਸ਼ਾਲ ਸ਼੍ਰੇਣੀ ਵਿੱਚ ਭਰੋਸੇਯੋਗ ਬਣਾਇਆ ਗਿਆ ਸੀ ਜਦੋਂ ਕਿ Let's Encrypt ਦਾ ਆਪਣਾ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਸਟੋਰਾਂ ਵਿੱਚ ਏਕੀਕ੍ਰਿਤ ਕੀਤਾ ਗਿਆ ਸੀ।

ਇਹ ਅਸਲ ਵਿੱਚ ਯੋਜਨਾ ਬਣਾਈ ਗਈ ਸੀ ਕਿ DST ਰੂਟ CA X3 ਦੇ ਬਰਤਰਫ਼ ਕੀਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ, Let's Encrypt ਪ੍ਰੋਜੈਕਟ ਸਿਰਫ ਇਸਦੇ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਦਸਤਖਤ ਬਣਾਉਣ ਲਈ ਸਵਿਚ ਕਰੇਗਾ, ਪਰ ਅਜਿਹਾ ਕਦਮ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਪੁਰਾਣੇ ਸਿਸਟਮਾਂ ਦੇ ਨਾਲ ਅਨੁਕੂਲਤਾ ਨੂੰ ਗੁਆ ਦੇਵੇਗਾ ਜੋ ਨਹੀਂ ਕਰਦੇ ਸਨ। ਚਲੋ ਇਨਕ੍ਰਿਪਟ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਉਹਨਾਂ ਦੇ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰੋ। ਖਾਸ ਤੌਰ 'ਤੇ, ਲਗਭਗ 30% ਐਂਡਰੌਇਡ ਡਿਵਾਈਸਾਂ ਦੀ ਵਰਤੋਂ ਵਿੱਚ ਲੈਟਸ ਐਨਕ੍ਰਿਪਟ ਰੂਟ ਸਰਟੀਫਿਕੇਟ 'ਤੇ ਡੇਟਾ ਨਹੀਂ ਹੈ, ਜਿਸ ਲਈ ਸਮਰਥਨ ਸਿਰਫ 7.1.1 ਦੇ ਅੰਤ ਵਿੱਚ ਜਾਰੀ ਕੀਤੇ Android 2016 ਪਲੇਟਫਾਰਮ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ।

ਚਲੋ ਐਨਕ੍ਰਿਪਟ ਨੇ ਇੱਕ ਨਵੇਂ ਕਰਾਸ-ਹਸਤਾਖਰ ਸਮਝੌਤੇ ਵਿੱਚ ਦਾਖਲ ਹੋਣ ਦੀ ਯੋਜਨਾ ਨਹੀਂ ਬਣਾਈ, ਕਿਉਂਕਿ ਇਹ ਸਮਝੌਤੇ ਦੀਆਂ ਪਾਰਟੀਆਂ 'ਤੇ ਵਾਧੂ ਜ਼ਿੰਮੇਵਾਰੀ ਲਾਉਂਦਾ ਹੈ, ਉਹਨਾਂ ਨੂੰ ਸੁਤੰਤਰਤਾ ਤੋਂ ਵਾਂਝਾ ਕਰਦਾ ਹੈ ਅਤੇ ਕਿਸੇ ਹੋਰ ਪ੍ਰਮਾਣੀਕਰਣ ਅਥਾਰਟੀ ਦੀਆਂ ਸਾਰੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਅਤੇ ਨਿਯਮਾਂ ਦੀ ਪਾਲਣਾ ਦੇ ਮਾਮਲੇ ਵਿੱਚ ਉਹਨਾਂ ਦੇ ਹੱਥ ਬੰਨ੍ਹਦਾ ਹੈ। ਪਰ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ Android ਡਿਵਾਈਸਾਂ 'ਤੇ ਸੰਭਾਵਿਤ ਸਮੱਸਿਆਵਾਂ ਦੇ ਕਾਰਨ, ਯੋਜਨਾ ਨੂੰ ਸੋਧਿਆ ਗਿਆ ਸੀ। IdenTrust ਪ੍ਰਮਾਣੀਕਰਣ ਅਥਾਰਟੀ ਦੇ ਨਾਲ ਇੱਕ ਨਵਾਂ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸਦੇ ਢਾਂਚੇ ਦੇ ਅੰਦਰ ਇੱਕ ਵਿਕਲਪਕ ਕਰਾਸ-ਹਸਤਾਖਰਿਤ Let's Encrypt ਇੰਟਰਮੀਡੀਏਟ ਸਰਟੀਫਿਕੇਟ ਬਣਾਇਆ ਗਿਆ ਸੀ। ਕਰਾਸ-ਦਸਤਖਤ ਤਿੰਨ ਸਾਲਾਂ ਲਈ ਵੈਧ ਹੋਵੇਗਾ ਅਤੇ ਵਰਜਨ 2.3.6 ਤੋਂ ਸ਼ੁਰੂ ਹੋਣ ਵਾਲੇ ਐਂਡਰੌਇਡ ਡਿਵਾਈਸਾਂ ਲਈ ਸਮਰਥਨ ਬਰਕਰਾਰ ਰੱਖੇਗਾ।

ਹਾਲਾਂਕਿ, ਨਵਾਂ ਇੰਟਰਮੀਡੀਏਟ ਸਰਟੀਫਿਕੇਟ ਕਈ ਹੋਰ ਵਿਰਾਸਤੀ ਪ੍ਰਣਾਲੀਆਂ ਨੂੰ ਕਵਰ ਨਹੀਂ ਕਰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਜਦੋਂ DST ਰੂਟ CA X3 ਪ੍ਰਮਾਣ-ਪੱਤਰ 30 ਸਤੰਬਰ ਨੂੰ ਬਰਤਰਫ਼ ਹੋ ਜਾਂਦਾ ਹੈ, ਤਾਂ Let's Encrypt ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਅਸਮਰਥਿਤ ਫਰਮਵੇਅਰ ਅਤੇ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮਾਂ 'ਤੇ ਸਵੀਕਾਰ ਨਹੀਂ ਕੀਤਾ ਜਾਵੇਗਾ ਜਿਨ੍ਹਾਂ ਲਈ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਸਟੋਰ ਵਿੱਚ ISRG ਰੂਟ X1 ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਹੱਥੀਂ ਜੋੜਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ ਤਾਂ ਕਿ Let's Encrypt ਸਰਟੀਫਿਕੇਟਾਂ ਵਿੱਚ ਭਰੋਸਾ ਕੀਤਾ ਜਾ ਸਕੇ। . ਸਮੱਸਿਆਵਾਂ ਆਪਣੇ ਆਪ ਵਿੱਚ ਪ੍ਰਗਟ ਹੋਣਗੀਆਂ:

• ਸ਼ਾਖਾ 1.0.2 ਤੱਕ OpenSSL (ਸ਼ਾਖਾ 1.0.2 ਦਾ ਰੱਖ-ਰਖਾਅ ਦਸੰਬਰ 2019 ਵਿੱਚ ਬੰਦ ਕਰ ਦਿੱਤਾ ਗਿਆ ਸੀ);
• NSS <3.26;
• Java 8 < 8u141, Java 7 < 7u151;
• ਵਿੰਡੋਜ਼ < XP SP3;
• macOS <10.12.1;
• iOS <10 (iPhone <5);
• ਐਂਡਰਾਇਡ < 2.3.6;
• ਮੋਜ਼ੀਲਾ ਫਾਇਰਫਾਕਸ <50;
• ਉਬੰਟੂ <16.04;
• ਡੇਬੀਅਨ < 8.

OpenSSL 1.0.2 ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਸਮੱਸਿਆ ਇੱਕ ਬੱਗ ਕਾਰਨ ਹੁੰਦੀ ਹੈ ਜੋ ਕਰਾਸ-ਹਸਤਾਖਰਿਤ ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਪ੍ਰੋਸੈਸ ਹੋਣ ਤੋਂ ਰੋਕਦਾ ਹੈ ਜੇਕਰ ਦਸਤਖਤ ਕਰਨ ਲਈ ਵਰਤੇ ਗਏ ਰੂਟ ਸਰਟੀਫਿਕੇਟਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੀ ਮਿਆਦ ਪੁੱਗ ਜਾਂਦੀ ਹੈ, ਭਾਵੇਂ ਕਿ ਟਰੱਸਟ ਦੀਆਂ ਹੋਰ ਵੈਧ ਚੇਨਾਂ ਰਹਿੰਦੀਆਂ ਹਨ। ਸਮੱਸਿਆ ਪਹਿਲੀ ਵਾਰ ਪਿਛਲੇ ਸਾਲ ਸਾਹਮਣੇ ਆਈ ਸੀ ਜਦੋਂ ਸੇਕਟੀਗੋ (ਕੋਮੋਡੋ) ਪ੍ਰਮਾਣੀਕਰਣ ਅਥਾਰਟੀ ਤੋਂ ਕਰਾਸ-ਹਸਤਾਖਰ ਸਰਟੀਫਿਕੇਟ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਐਡਟਰਸਟ ਸਰਟੀਫਿਕੇਟ ਦੇ ਪੁਰਾਣੇ ਹੋ ਗਏ ਸਨ। ਸਮੱਸਿਆ ਦੀ ਜੜ੍ਹ ਇਹ ਹੈ ਕਿ OpenSSL ਨੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਇੱਕ ਲੀਨੀਅਰ ਚੇਨ ਵਜੋਂ ਪਾਰਸ ਕੀਤਾ ਹੈ, ਜਦੋਂ ਕਿ RFC 4158 ਦੇ ਅਨੁਸਾਰ, ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਇੱਕ ਤੋਂ ਵੱਧ ਟਰੱਸਟ ਐਂਕਰਾਂ ਦੇ ਨਾਲ ਇੱਕ ਨਿਰਦੇਸ਼ਿਤ ਵੰਡਿਆ ਸਰਕੂਲਰ ਗ੍ਰਾਫ ਦੀ ਨੁਮਾਇੰਦਗੀ ਕਰ ਸਕਦਾ ਹੈ ਜਿਸਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਣ ਦੀ ਲੋੜ ਹੈ।

OpenSSL 1.0.2 'ਤੇ ਆਧਾਰਿਤ ਪੁਰਾਣੀਆਂ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨਾਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ ਤਿੰਨ ਹੱਲ ਪੇਸ਼ ਕੀਤੇ ਜਾਂਦੇ ਹਨ:

• IdenTrust DST ਰੂਟ CA X3 ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਹੱਥੀਂ ਹਟਾਇਆ ਅਤੇ ਸਟੈਂਡ-ਅਲੋਨ (ਕਰਾਸ-ਹਸਤਾਖਰਿਤ ਨਹੀਂ) ISRG ਰੂਟ X1 ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਸਥਾਪਤ ਕੀਤਾ।
• Openssl verify ਅਤੇ s_client ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਵੇਲੇ, ਤੁਸੀਂ “--trusted_first” ਵਿਕਲਪ ਨੂੰ ਨਿਰਧਾਰਿਤ ਕਰ ਸਕਦੇ ਹੋ।
• ਸਰਵਰ 'ਤੇ ਇੱਕ ਵੱਖਰੇ ਰੂਟ ਸਰਟੀਫਿਕੇਟ SRG ਰੂਟ X1 ਦੁਆਰਾ ਪ੍ਰਮਾਣਿਤ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਦੀ ਵਰਤੋਂ ਕਰੋ, ਜਿਸ ਵਿੱਚ ਕਰਾਸ-ਦਸਤਖਤ ਨਹੀਂ ਹਨ। ਇਹ ਵਿਧੀ ਪੁਰਾਣੇ ਐਂਡਰੌਇਡ ਕਲਾਇੰਟਸ ਦੇ ਨਾਲ ਅਨੁਕੂਲਤਾ ਦੇ ਨੁਕਸਾਨ ਦੀ ਅਗਵਾਈ ਕਰੇਗੀ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਅਸੀਂ ਨੋਟ ਕਰ ਸਕਦੇ ਹਾਂ ਕਿ Let's Encrypt ਪ੍ਰੋਜੈਕਟ ਨੇ ਦੋ ਬਿਲੀਅਨ ਤਿਆਰ ਸਰਟੀਫਿਕੇਟਾਂ ਦੇ ਮੀਲ ਪੱਥਰ ਨੂੰ ਪਾਰ ਕਰ ਲਿਆ ਹੈ। ਇੱਕ ਅਰਬ ਦਾ ਮੀਲ ਪੱਥਰ ਪਿਛਲੇ ਸਾਲ ਫਰਵਰੀ ਵਿੱਚ ਹਾਸਲ ਕੀਤਾ ਗਿਆ ਸੀ। ਰੋਜ਼ਾਨਾ 2.2-2.4 ਮਿਲੀਅਨ ਨਵੇਂ ਸਰਟੀਫਿਕੇਟ ਤਿਆਰ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਸਰਗਰਮ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਸੰਖਿਆ 192 ਮਿਲੀਅਨ ਹੈ (ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਤਿੰਨ ਮਹੀਨਿਆਂ ਲਈ ਵੈਧ ਹੁੰਦਾ ਹੈ) ਅਤੇ ਲਗਭਗ 260 ਮਿਲੀਅਨ ਡੋਮੇਨਾਂ ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ (195 ਮਿਲੀਅਨ ਡੋਮੇਨ ਇੱਕ ਸਾਲ ਪਹਿਲਾਂ, 150 ਮਿਲੀਅਨ ਦੋ ਸਾਲ ਪਹਿਲਾਂ, 60 ਮਿਲੀਅਨ ਤਿੰਨ ਸਾਲ ਪਹਿਲਾਂ ਕਵਰ ਕੀਤੇ ਗਏ ਸਨ)। ਫਾਇਰਫਾਕਸ ਟੈਲੀਮੈਟਰੀ ਸੇਵਾ ਦੇ ਅੰਕੜਿਆਂ ਅਨੁਸਾਰ, HTTPS ਦੁਆਰਾ ਪੇਜ ਬੇਨਤੀਆਂ ਦਾ ਗਲੋਬਲ ਸ਼ੇਅਰ 82% ਹੈ (ਇੱਕ ਸਾਲ ਪਹਿਲਾਂ - 81%, ਦੋ ਸਾਲ ਪਹਿਲਾਂ - 77%, ਤਿੰਨ ਸਾਲ ਪਹਿਲਾਂ - 69%, ਚਾਰ ਸਾਲ ਪਹਿਲਾਂ - 58%)।

ਸਰੋਤ: opennet.ru