अमेरिकी सरकार ने बंद के कारण 80 टीएलएस प्रमाणपत्रों का नवीनीकरण नहीं किया

5 जनवरी, 2019 को यूएस कोर्ट ऑफ अपील्स वेबसाइट द्वारा उपयोग किया गया डिजीकार्ट प्रमाणपत्र का नवीनीकरण किया गया है और इसका नवीनीकरण नहीं किया गया है। साइट में दस्तावेज़ फाइलिंग सिस्टम और PACER (न्यायिक इलेक्ट्रॉनिक रिकॉर्ड तक सार्वजनिक पहुंच की प्रणाली) के लिंक हैं

नेटक्राफ्ट के एक अध्ययन के अनुसार, चल रहे संघीय बंद के दौरान दर्जनों अमेरिकी सरकारी साइटें असुरक्षित या दुर्गम हो गईं। इनमें नासा, यूएस डिपार्टमेंट ऑफ जस्टिस और कोर्ट ऑफ अपील की ओर से इस्तेमाल किए जाने वाले महत्वपूर्ण पेमेंट पोर्टल और रिमोट एक्सेस सेवाएं हैं।

लगभग 400,000 संघीय कर्मचारी वर्तमान में जबरन छुट्टी पर हैं। इसलिए, यह बहुत आश्चर्य की बात नहीं है कि किसी ने .gov क्षेत्र में सरकारी साइटों पर 80 से अधिक टीएलएस प्रमाणपत्रों को नवीनीकृत करने की जहमत नहीं उठाई। स्थिति इस तथ्य से बढ़ रही है कि बंद किए जाने से पहले लागू की गई कठोर एचएसटी सुरक्षा नीति के कारण इनमें से कुछ परित्यक्त साइटें दुर्गम हो गईं।

एक उदाहरण https://ows2.usdoj.gov , अमेरिकी न्याय विभाग की वेबसाइट है। शटडाउन से एक सप्ताह पहले उनका प्रमाणपत्र समाप्त हो गया। प्रमाण पत्र पर एक विश्वसनीय GoDaddy प्रमाणपत्र प्राधिकरण द्वारा हस्ताक्षरित किया गया था, लेकिन 17 दिसंबर 2018 को इसकी समाप्ति के बाद से इसे अपडेट नहीं किया गया है।


सभी यूएस डिपार्टमेंट ऑफ जस्टिस सबडोमेंस एचएसटीएस पॉलिसी द्वारा कवर किए गए हैं। एक समाप्त टीएलएस प्रमाणपत्र के साथ संयुक्त, यह वर्तमान में उपयोगकर्ताओं को चेतावनी को अनदेखा करने और साइट में प्रवेश करने से रोकता है।

Usdoj.gov डोमेन और इसके सभी उप डोमेन को HSTS क्रोमियम प्रीलोड सूची में शामिल किया गया है । यह एक उचित सुरक्षा उपाय है जो आधुनिक ब्राउज़रों को न्याय मंत्रालय की वेबसाइटों तक पहुँचने के दौरान केवल सुरक्षित, एन्क्रिप्टेड प्रोटोकॉल का उपयोग करने के लिए मजबूर करता है। एक ही समय में, जब एक समाप्त प्रमाण पत्र की खोज की जाती है, तो पहुंच अवरुद्ध हो जाती है। इन मामलों में, आधुनिक ब्राउज़र, जैसे कि Google क्रोम और मोज़िला फ़ायरफ़ॉक्स, जानबूझकर एक उन्नत विकल्प छिपाते हैं जो उपयोगकर्ता को चेतावनी को बायपास करने और साइट पर जाने की अनुमति देगा।

दयनीय स्थिति को पहचानते हुए, Netcraft विशेषज्ञों का मानना ​​है कि अभी भी प्रयोज्य और सुरक्षा के बीच, आपको दूसरा चुनना चाहिए, यदि आप दोनों नहीं प्राप्त कर सकते हैं। यदि उपयोगकर्ताओं को ऐसी चेतावनियों को नजरअंदाज करने का अवसर मिला, तो वे MiTM जैसे हमलों के प्रति संवेदनशील हो जाएंगे, जिनसे निपटने के लिए TLS प्रमाणपत्र तैयार किए गए हैं।

हालाँकि, सही HSTS नीति केवल कुछ .gov साइटों पर कॉन्फ़िगर की गई है। वे एचएसटीएस प्रीलोड सूची में दिखाई देते हैं, और बाकी स्ट्रिक्ट-ट्रांसपोर्ट-सिक्योरिटी HTTP हेडर के माध्यम से पॉलिसी को सेट करने का प्रयास करते हैं। इस तरह की पॉलिसी की समय-सीमा प्रमाण पत्र के साथ निष्पादित नहीं की जाएगी, यह केवल तभी प्रभावी है जब उपयोगकर्ता पहले ही साइटों पर जा चुका है।

इस प्रकार, सबसे अधिक प्रभावित साइटों पर, एक सुरक्षा चेतावनी प्रदर्शित की जाएगी कि उपयोगकर्ता नेटपास को लिख सकता है, "नेटक्राफ्ट लिखता है:" इससे कुछ सुरक्षा समस्याएं पैदा होती हैं, क्योंकि उपयोगकर्ता इन सुरक्षा चेतावनियों को नजरअंदाज करने की अधिक संभावना रखते हैं और MiTM जैसे हमलों की चपेट में आ जाते हैं। "


नासा की यह साइट अभी भी एक समय सीमा समाप्त प्रमाण पत्र का उपयोग करती है, लेकिन डोमेन एचएसटीएस की प्रारंभिक सूची में नहीं है। इस प्रकार, उपयोगकर्ता ब्राउज़र चेतावनी को अनदेखा कर सकते हैं और साइट पर जा सकते हैं

उदाहरण के लिए, डोमेन https://rockettest.nasa.gov/ को HSTS प्रीलोड सूची में शामिल नहीं किया गया है, और 5 जनवरी, 2019 को प्रमाणपत्र समाप्त हो गया है।

एक अन्य उदाहरण ब्राउज़र सुरक्षा चेतावनियों की अनदेखी के संभावित खतरे को दर्शाता है। बर्कले लैब साइट प्रमाणपत्र https://d2l.lbl.gov 8 जनवरी, 2019 को समाप्त हो गया (हालांकि बर्कले लैब बंद से प्रभावित नहीं है) और अभी तक प्रतिस्थापित नहीं किया गया है। चूंकि कोई प्रभावी HSTS नीति नहीं है, इसलिए उपयोगकर्ता ब्राउज़र चेतावनी को अनदेखा कर सकते हैं और लॉगिन फ़ॉर्म पर जा सकते हैं। इस उदाहरण में, ब्राउज़र के एड्रेस बार के बगल में क्लिक करने से स्पष्ट रूप से उपयोगकर्ता को पृष्ठ पर कोई भी गोपनीय जानकारी नहीं छोड़ने की सलाह दी जाएगी।

अमेरिकी राजनीतिक परिदृश्य पर दोनों पक्षों की अड़ियल स्थिति के कारण सरकारी बंद था। राष्ट्रपति डोनाल्ड ट्रम्प मैक्सिको के साथ दीवार पर समझौता नहीं करना चाहते हैं, और डेमोक्रेट्स ने दीवार बनाने के लिए $ 5.7 बिलियन के बजट को मंजूरी देने से इनकार कर दिया। यदि शटडाउन रहता है और संघीय कर्मचारी छुट्टी पर रहते हैं, तो निकट भविष्य में टीएलएस प्रमाणपत्र समाप्त हो जाने के कारण और भी सरकारी साइटें अनुपलब्ध हो सकती हैं।