Let's Encrypt، ایک غیر منافع بخش سرٹیفکیٹ اتھارٹی جو کمیونٹی کے زیر کنٹرول ہے اور ہر کسی کو مفت سرٹیفکیٹ فراہم کرتی ہے، نے تقریباً 1 لاکھ TLS سرٹیفکیٹس کی جلد منسوخی کا اعلان کیا، جو اس سرٹیفیکیشن اتھارٹی کے تمام فعال سرٹیفکیٹس کا تقریباً 01% ہے۔ TLS-ALPN-7301 ایکسٹینشن (RFC 2, Application-Layer Protocol Negotiation) کے نفاذ کے ساتھ Let's Encrypt میں استعمال کردہ کوڈ میں وضاحتی تقاضوں کی عدم تعمیل کی نشاندہی کی وجہ سے سرٹیفکیٹس کی منسوخی شروع کی گئی۔ یہ تضاد HTTP/XNUMX میں استعمال ہونے والی ALPN TLS ایکسٹینشن کی بنیاد پر کنکشن گفت و شنید کے عمل کے دوران کئے گئے کچھ چیکوں کی عدم موجودگی کی وجہ سے تھا۔ واقعہ کے بارے میں تفصیلی معلومات مسئلہ سرٹیفکیٹ کی منسوخی مکمل ہونے کے بعد شائع کی جائیں گی۔
26 جنوری کو 03:48 (MSK) پر مسئلہ حل ہو گیا تھا، لیکن تصدیق کے لیے TLS-ALPN-01 طریقہ استعمال کرتے ہوئے جاری کیے گئے تمام سرٹیفیکیٹس کو کالعدم قرار دینے کا فیصلہ کیا گیا۔ سرٹیفکیٹس کی منسوخی 28 جنوری کو 19:00 بجے (MSK) شروع ہوگی۔ اس وقت تک، TLS-ALPN-01 تصدیقی طریقہ استعمال کرنے والے صارفین کو مشورہ دیا جاتا ہے کہ وہ اپنے سرٹیفکیٹس کو اپ ڈیٹ کریں، بصورت دیگر وہ جلد ہی باطل کر دیے جائیں گے۔
سرٹیفکیٹس کی تجدید کی ضرورت کے بارے میں اطلاعات ای میل کے ذریعے بھیجی گئی ہیں۔ پہلے سے طے شدہ ترتیبات کے ساتھ سرٹیفکیٹ حاصل کرنے کے لیے Certbot اور dehydrated ٹولز استعمال کرنے والے صارفین اس مسئلے سے متاثر نہیں ہوتے ہیں۔ TLS-ALPN-01 طریقہ Caddy، Traefik، Apache mod_md، اور آٹوسرٹ پیکجوں میں معاون ہے۔ آپ شناخت کنندگان، سیریل نمبرز، یا ڈومینز مسئلہ سرٹیفکیٹ کی فہرست میں.
چونکہ TLS-ALPN-01 طریقہ استعمال کرتے ہوئے جانچ پڑتال کرتے وقت تبدیلیاں رویے کو متاثر کرتی ہیں، ACME کلائنٹ کو اپ ڈیٹ کرنے یا سیٹنگز (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik) کو تبدیل کرنے سے کام جاری رکھنے کی ضرورت پڑ سکتی ہے۔ تبدیلیوں میں 1.2 سے کم TLS ورژنز کا استعمال شامل ہے (کلائنٹ اب TLS 1.1 استعمال نہیں کر سکیں گے) اور OID 1.3.6.1.5.5.7.1.30.1 کی فرسودگی، جو متروک acmeIdentifier ایکسٹینشن کی نشاندہی کرتی ہے، جو صرف پہلے میں سپورٹ کی گئی تھی۔ RFC 8737 تفصیلات کے مسودے (ایک سرٹیفکیٹ تیار کرتے وقت، اب صرف OID 1.3.6.1.5.5.7.1.31 کی اجازت ہے، اور OID 1.3.6.1.5.5.7.1.30.1 استعمال کرنے والے کلائنٹ سرٹیفکیٹ حاصل نہیں کر سکیں گے)۔
ماخذ: opennet.ru
