গতকাল আমরা ব্লগে এখানে খবরটি ভাগ করি আইডেনট্রাস্ট সার্টিফিকেট (DST Root CA X3) এর সমাপ্তিতে লেটস এনক্রিপ্ট CA সার্টিফিকেট স্বাক্ষর করার জন্য OpenSSL এবং GnuTLS এর পুরোনো সংস্করণ ব্যবহার করে প্রকল্পে লেটস এনক্রিপ্ট সার্টিফিকেট যাচাইকরণে সমস্যা হয়েছে।
সমস্যাগুলি LibreSSL লাইব্রেরিকেও প্রভাবিত করেছে, যার ডেভেলপাররা সেক্টিগো (কমোডো) সার্টিফিকেট অথরিটির অ্যাডট্রাস্ট রুট সার্টিফিকেটের মেয়াদ শেষ হওয়ার পরে ঘটে যাওয়া ক্র্যাশ সম্পর্কিত অতীত অভিজ্ঞতা বিবেচনায় নেয়নি।
এবং যে হয় ওপেনএসএসএল সংস্করণগুলিতে 1.0.2 পর্যন্ত এবং GnuTLS- এ 3.6.14 এর আগে, একটি ত্রুটি ঘটেছে স্বাক্ষর করার জন্য ব্যবহৃত রুট সার্টিফিকেটগুলির একটি মেয়াদ শেষ হয়ে গেলেও, অন্য বৈধ সার্টিফিকেটগুলি রাখা হলেও এটি ক্রস-সাইন করা সার্টিফিকেটগুলির সঠিক প্রক্রিয়াকরণের অনুমতি দেয়নি।
ত্রুটির সারমর্ম হল যে OpenSSL এবং GnuTLS এর পূর্ববর্তী সংস্করণগুলি একটি রৈখিক শৃঙ্খলা হিসাবে শংসাপত্রটি বিশ্লেষণ করেছে, যেখানে RFC 4158 অনুসারে, একটি সার্টিফিকেট বিভিন্ন ট্রাস্ট অ্যাঙ্কর সহ একটি নির্দেশিত বিতরণ পাই চার্টকে প্রতিনিধিত্ব করতে পারে যা অবশ্যই বিবেচনায় নেওয়া উচিত।
তার অংশ জন্য ওপেনবিএসডি প্রকল্পটি জরুরীভাবে আজ 6.8 এবং 6.9 শাখার জন্য প্যাচ প্রকাশ করেছে, যা LibreSSL- এ ক্রস-সাইন করা সার্টিফিকেট যাচাইয়ের মাধ্যমে সমস্যার সমাধান করে, ট্রাস্ট চেইনের অন্যতম রুট সার্টিফিকেটের মেয়াদ শেষ হয়ে গেছে। সমস্যার সমাধান হিসাবে, এটিকে সুপারিশ করা হয় , ftp.hostserver.de, cdn.openbsd .org)।
এছাড়াও মেয়াদোত্তীর্ণ ডিএসটি রুট CA X3 সার্টিফিকেট সরানো যেতে পারে /etc/ssl/cert.pem ফাইল থেকে, এবং বাইনারি সিস্টেম আপডেট ইনস্টল করার জন্য ব্যবহৃত syspatch ইউটিলিটি ওপেনবিএসডি -তে কাজ করা বন্ধ করে দিয়েছে।
DPorts এর সাথে কাজ করার সময় অনুরূপ DragonFly BSD সমস্যা দেখা দেয়। পিকেজি প্যাকেজ ম্যানেজার শুরু করার সময়, একটি শংসাপত্র যাচাইকরণ ত্রুটি তৈরি হয়। আজকের ড্রাগনফ্লাই_RELEASE_6_0 এবং ড্রাগনফ্লাই_আরইএএএলএস_৫_5 এর প্রধান শাখায় ফিক্স যোগ করা হয়েছে। একটি সমাধান হিসাবে, আপনি ডিএসটি রুট CA X8 শংসাপত্রটি সরাতে পারেন।
ঘটে যাওয়া কিছু ব্যর্থতা ইডেনট্রাস্ট সার্টিফিকেট বাতিল হওয়ার পর নিম্নলিখিত ছিল:
- লেটস এনক্রিপ্ট সার্টিফিকেট যাচাইকরণ প্রক্রিয়া ইলেকট্রন প্ল্যাটফর্মের উপর ভিত্তি করে আবেদনে বিঘ্নিত হয়েছে। এই সমস্যা 12.2.1, 13.5.1, 14.1.0, 15.1.0 আপডেটে সংশোধন করা হয়েছে।
- GnuTLS লাইব্রেরির পুরোনো সংস্করণের সাথে অন্তর্ভুক্ত APT প্যাকেজ ম্যানেজার ব্যবহার করার সময় কিছু ডিস্ট্রিবিউশনের প্যাকেজ সংগ্রহস্থলগুলি অ্যাক্সেস করতে সমস্যা হয়।
- ডেবিয়ান 9 অপ্রচলিত GnuTLS প্যাকেজ দ্বারা প্রভাবিত হয়েছিল, যার ফলে deb.debian.org ব্যবহারকারীরা অ্যাক্সেস করতে সমস্যা করেছিল যারা সময়মতো আপডেট ইনস্টল করেনি (28 সেপ্টেম্বর gnutls3.5.8-5-9 + deb6u17 ঠিক করা হয়েছিল)।
- অ্যাকমে ক্লায়েন্ট ওপিএনসেন্সে ভেঙে পড়েছিল, সমস্যাটি সময়ের আগেই রিপোর্ট করা হয়েছিল, কিন্তু ডেভেলপাররা সময়মতো প্যাচটি প্রকাশ করতে ব্যর্থ হয়েছিল।
- সমস্যাটি RHEL / CentOS 1.0.2 এ OpenSSL 7k প্যাকেজকে প্রভাবিত করেছে, কিন্তু RHEL 7 এবং CentOS 7 এর জন্য এক সপ্তাহ আগে, ca-certificate-2021.2.50-72.el7_9.noarch প্যাকেজের আপডেট তৈরি করা হয়েছিল, যেখান থেকে ইডেনট্রাস্ট সার্টিফিকেট মুছে ফেলা হয়েছে, অর্থাৎ সমস্যাটির প্রকাশ আগে থেকেই ব্লক করা ছিল।
- যেহেতু আপডেটগুলি তাড়াতাড়ি প্রকাশ করা হয়েছিল, লেটস এনক্রিপ্ট সার্টিফিকেট যাচাইকরণের সমস্যাটি শুধুমাত্র পুরানো RHEL / CentOS এবং উবুন্টু শাখার ব্যবহারকারীদের প্রভাবিত করেছে, যারা নিয়মিত আপডেট ইনস্টল করেন না।
- Grpc এ সার্টিফিকেট যাচাই প্রক্রিয়া ভেঙে গেছে।
- ক্লাউডফ্লেয়ার পেজ প্ল্যাটফর্ম তৈরি করতে ব্যর্থ হয়েছে।
- আমাজন ওয়েব সার্ভিসেস (AWS) সমস্যা।
- DigitalOcean ব্যবহারকারীদের ডাটাবেসের সাথে সংযোগ করতে সমস্যা হচ্ছে।
- Netlify ক্লাউড প্ল্যাটফর্ম ব্যর্থতা।
- Xero পরিষেবা অ্যাক্সেস করতে সমস্যা।
- MailGun Web API- এর সাথে TLS সংযোগ স্থাপনের একটি প্রচেষ্টা ব্যর্থ হয়েছে।
- ম্যাকওএস এবং আইওএস সংস্করণে বাগ (11, 13, 14), যা তাত্ত্বিকভাবে সমস্যা দ্বারা প্রভাবিত হওয়া উচিত ছিল না।
- ক্যাচপয়েন্ট পরিষেবা ব্যর্থতা।
- পোস্টম্যান এপিআই অ্যাক্সেস করার সময় সার্টিফিকেট চেক করতে ব্যর্থ।
- গার্ডিয়ান ফায়ারওয়াল ক্র্যাশ হয়েছে।
- Monday.com সাপোর্ট পেজে ব্যাঘাত।
- সার্ব প্ল্যাটফর্মে দুর্ঘটনা।
- গুগল ক্লাউড মনিটরিংয়ে আপটাইম যাচাই করতে অক্ষম।
- Cisco Umbrella Secure Web Gateway এ সার্টিফিকেট যাচাইকরণ সংক্রান্ত সমস্যা।
- ব্লু কোট এবং পালো আল্টো প্রক্সিগুলির সাথে সংযোগে সমস্যা।
- OVHcloud ওপেনস্ট্যাক API- এর সাথে সংযোগ করতে সমস্যা হচ্ছে।
- Shopify- এ রিপোর্ট তৈরি করতে সমস্যা।
- হেরোকু এপিআই অ্যাক্সেস করতে সমস্যা আছে।
- লেজার লাইভ ম্যানেজারে ক্র্যাশ।
- ফেসবুক অ্যাপ্লিকেশন ডেভেলপমেন্ট টুলে সার্টিফিকেট যাচাইকরণ ত্রুটি।
- Sophos SG UTM- এ সমস্যা।
- সিপ্যানেলে শংসাপত্র যাচাইকরণে সমস্যা।
একটি বিকল্প সমাধান হিসাবে, "ডিএসটি রুট CA X3" শংসাপত্রটি সরানোর প্রস্তাব করা হয়েছে সিস্টেম স্টোর (/etc/ca-certificates.conf এবং / etc / ssl / certs) থেকে এবং তারপর "update -ca -ificates -f -v" কমান্ডটি চালান)।
CentOS এবং RHEL এ, আপনি "DST Root CA X3" সার্টিফিকেটকে কালো তালিকায় যুক্ত করতে পারেন।