Let's Encrypt - OCSP सेवा बंद करने की घोषणा

 (letsencrypt.org)
5 पॉइंट द्वारा GN⁺ 2024-07-24 | 2 टिप्पणियां | WhatsApp पर शेयर करें
  • Let’s Encrypt जल्द से जल्द OCSP (Online Certificate Status Protocol) सपोर्ट बंद करके Certificate Revocation Lists (CRLs) पर स्विच करने की योजना बना रहा है
  • OCSP और CRLs दोनों ही certificate revocation जानकारी देने के मेकैनिज़्म हैं, लेकिन CRLs के OCSP की तुलना में कई फायदे हैं
  • Let’s Encrypt लॉन्च होने के बाद पिछले 10 वर्षों से OCSP responder उपलब्ध कराता रहा है, और 2022 में उसने CRLs सपोर्ट जोड़ा
  • इस बदलाव का वेबसाइटों और विज़िटर्स पर असर नहीं पड़ेगा, लेकिन कुछ non-browser software प्रभावित हो सकते हैं

OCSP सपोर्ट बंद करने का कारण

  • OCSP इंटरनेट privacy के लिए गंभीर जोखिम पैदा करता है
  • OCSP के जरिए certificate revocation status जांचते समय, certificate authority (CA) तुरंत जान सकती है कि किसी खास IP address से कौन-सी वेबसाइट देखी गई
  • Let’s Encrypt इस जानकारी को जानबूझकर संग्रहीत नहीं करता, लेकिन कानूनी रूप से इसे इकट्ठा करने के लिए मजबूर किया जा सकता है
  • CRLs में यह समस्या नहीं है

CA infrastructure को सरल बनाना

  • Let’s Encrypt की CA infrastructure को जितना संभव हो उतना सरल बनाए रखना महत्वपूर्ण है
  • OCSP सेवा चलाने में काफी संसाधन लगते हैं, और अब CRLs सपोर्ट मौजूद होने के कारण OCSP सेवा की जरूरत नहीं रह गई है

CA/Browser Forum का फैसला

  • अगस्त 2023 में, CA/Browser Forum ने ऐसा फैसला पारित किया जिससे publicly trusted CA के लिए OCSP सेवा देना वैकल्पिक हो गया
  • Microsoft को छोड़कर अधिकांश root programs अब OCSP की मांग नहीं करते
  • अगर Microsoft Root Program भी OCSP को वैकल्पिक बना देता है, तो Let’s Encrypt OCSP सेवा बंद करने के लिए ठोस और तेज़ टाइमलाइन घोषित करने की योजना बना रहा है

OCSP सेवा पर निर्भरता खत्म करने की सिफारिश

  • जो लोग अभी OCSP सेवा पर निर्भर हैं, उन्हें जितनी जल्दी हो सके इस निर्भरता को खत्म करने की प्रक्रिया शुरू कर देनी चाहिए
  • यदि आप Let’s Encrypt certificate का उपयोग करके VPN जैसे non-browser communication को सुरक्षित कर रहे हैं, तो यह सुनिश्चित करना चाहिए कि certificate में OCSP URL न होने पर भी software सही तरह से काम करे
  • अधिकांश OCSP implementations "fail open" तरीके से काम करती हैं, इसलिए अगर OCSP response नहीं मिल पाता तो सिस्टम बंद नहीं होता

GN⁺ का सार

  • यह बताता है कि Let’s Encrypt OCSP सपोर्ट बंद करके CRLs पर क्यों जा रहा है और यह क्यों महत्वपूर्ण है
  • इसमें जोर दिया गया है कि OCSP privacy समस्याएं पैदा कर सकता है और CRLs उन्हें कैसे हल कर सकते हैं
  • CA infrastructure को सरल बनाने और संसाधन बचाने की जरूरत का उल्लेख किया गया है
  • CA/Browser Forum के फैसले और Microsoft की आगे की योजना को लेकर उम्मीद जताई गई है
  • OCSP सेवा पर निर्भर उपयोगकर्ताओं के लिए सलाह दी गई है

संबंधित पढ़ाई

2 टिप्पणियां

 
mintdevelopers 2024-07-24

CRLs में रिन्यूअल/सिंक स्पीड की दिक्कतें होती हैं, और आकार बढ़ने पर लुकअप स्पीड पर भी सीमाएँ आ सकती हैं। यह समस्या कैसे हल की जाएगी, यह जानने की जिज्ञासा है। साथ ही, दूसरे certificate providers की तुलना में Let’s Encrypt द्वारा मैनेज किए जाने वाले certificates की संख्या भी बहुत अधिक होने की संभावना लगती है।
 
GN⁺ 2024-07-24
Hacker News राय

  • OCSP Watch बनाने के बाद, CT logs में certificates खोजते समय अक्सर यह पाया गया कि CA यह भूल गया था कि उसने certificate जारी किया था

    • CRL सभी जारी किए गए certificates की status नहीं देता, इसलिए इससे इसका पता नहीं चल सकता
    • अच्छा होगा अगर root program certificates में OCSP URL शामिल करने की requirement हटा दे, और सभी issuers के OCSP URL को CCADB में public करने की व्यवस्था करे

  • सभी certificates में बिना शर्त Must Staple restriction जोड़ना अच्छा होगा

    • इससे privacy समस्या हल होती है, और browsers के बाहर भी व्यापक support मिलता है

  • letsencrypt वह community-केंद्रित internet infrastructure है जिसकी हमने 20 साल पहले कल्पना की थी

    • letsencrypt बहुत पसंद है

  • अगर Microsoft Root Program OCSP को optional बना देता है, तो letsencrypt OCSP service बंद करने की योजना बना रहा है

    • उम्मीद है कि Microsoft यह बदलाव 6~12 महीनों के भीतर लागू करेगा
    • updates देखने के लिए Discourse की API Announcements category को subscribe करना अच्छा रहेगा

  • certificate management मानव व्यवहार और computer science के intersection पर मौजूद एक दिलचस्प समस्या है

    • सिद्धांत में यह सरल है, लेकिन वास्तविक दुनिया में यह बहुत जटिल हो जाता है

  • web servers में CRL support कैसा है, यह जानने की जिज्ञासा है

    • NGINX और Apache केवल OCSP stapling को support करते हैं

  • जानना चाहता हूँ कि LetsEncrypt इस्तेमाल करने वालों के लिए इसका मतलब आसान शब्दों में क्या है

    • अगर Nginx या Caddy जैसे servers इस्तेमाल कर रहे हैं, तो क्या कोई बदलाव करना पड़ेगा

  • अगर Chrome या Firefox का उपयोग नहीं कर रहे हैं, तो certificate revocation कैसे जांची जा सकती है, यह जिज्ञासा है

    • इससे web कम खुला हुआ बनता है

  • यह जानना चाहता हूँ कि ACME, DNS-01 challenge, और OCSP को support करने वाले free या सस्ते certificate providers हैं या नहीं

    • ZeroSSL के अलावा कोई और provider है या नहीं, यह जिज्ञासा है

  • CRL scalable नहीं है और updates आने में बहुत समय लगता है

    • यह जिज्ञासा है कि CRL के gigabytes तक बड़े हो जाने की समस्या हल करने के लिए कोई standard binary format क्यों नहीं है
    • Cuckoo filter या इसी तरह की data structure का उपयोग करके latest binary blob को बार-बार fetch किया जा सकता है