Certbot: खाता आईडी के लिए क्रिप्टोग्राफ़िक हैश का उपयोग बंद करें

को निर्मित 23 जन॰ 2020 · 3टिप्पणियाँ · स्रोत: certbot/certbot

https://github.com/certbot/certbot/pull/7708 में हमने RHEL FIPS सिस्टम पर MD5 का उपयोग करने की समस्या को ठीक किया। यह उम्मीद है कि MD5 के उपयोग के कारण लोगों के Certbot का उपयोग करने में असमर्थ होने के सभी मुद्दों का समाधान हो गया है।

हम अब भी उस कोड को सरल बना सकते हैं और खाता आईडी के लिए क्रिप्टोग्राफ़िक हैश का उपयोग न करके भविष्य में संभावित रूप से इसी तरह की समस्याओं से बच सकते हैं। मैं अनुशंसा करता हूं कि जो कोई भी इस मुद्दे पर काम करता है वह https://github.com/certbot/certbot/issues/1948 पढ़ता है, लेकिन jsha ने https://github.com/certbot/certbot/ पर एक यादृच्छिक रूप से जेनरेट किए गए मान का उपयोग करने का सुझाव दिया है।

इसे लिखते समय, हमें अभी भी यह परिवर्तन नहीं करना चाहिए क्योंकि बहुत से लोगों को तोड़ने की क्षमता के कारण अगर उन्हें वर्तमान में डेबियन और उबंटू जैसे लिनक्स डिस्ट्रोस में पैक किए गए सर्टिफिकेट के संस्करण में डाउनग्रेड करना पड़ता है। मैंने इस समस्या का अधिक वर्णन https://github.com/certbot/certbot/issues/1948#issuecomment -574922873 पर किया है।

code health

स्रोत

bmw

सभी 3 टिप्पणियाँ

क्या मैं फिर से यूयूआईडी का उपयोग करने का सुझाव दे सकता हूं? विशेष रूप से uuid.uuid4() ।

यूयूआईडी अद्वितीय होने के लिए डिज़ाइन किए गए हैं और मुझे कुछ यादृच्छिक बाइट्स के ऊपर किसी प्रकार के मानकीकृत अद्वितीय पहचानकर्ता का उपयोग करने का विचार पसंद है।

osirisinferi 24 जन॰ 2020

😕1 👎1 👍1

@osirisinferi आप जो कह रहे हैं वह शून्य समझ में आता है !!!

आप कहते हैं "विशेष रूप से uuid.uuid4 ()"।

क्या आपने वास्तव में UUID संस्करण 4 की परिभाषा को देखा है?

RFC4122 उद्धृत करने के लिए:

संस्करण 4 यूयूआईडी वास्तव में यादृच्छिक से यूयूआईडी उत्पन्न करने के लिए है या
छद्म यादृच्छिक संख्या।
एल्गोरिथ्म इस प्रकार है:
o के दो सबसे महत्वपूर्ण बिट्स (बिट्स 6 और 7) सेट करें
घड़ी_सेक_ही_और_आरक्षित शून्य और एक, क्रमशः।
o चार सबसे महत्वपूर्ण बिट्स (बिट्स 12 से 15) सेट करें
time_hi_and_version फ़ील्ड से 4-बिट संस्करण संख्या तक
धारा 4.1.3।
o अन्य सभी बिट्स को यादृच्छिक रूप से (या छद्म-यादृच्छिक रूप से) चुने गए पर सेट करें
मूल्य।

इसलिए, लोगों को "बस कुछ यादृच्छिक बाइट्स" के बजाय UUIDv4 का उपयोग करने के लिए कहना थोड़ा बेमानी है, परिभाषा के अनुसार, UUIDv4 का अधिकांश हिस्सा "बस कुछ यादृच्छिक बाइट्स" है !!!!!

इसके अलावा कई डेवलपर आधिकारिक RFC4122 v4 UUID का पालन भी नहीं करते हैं और अनुमानित बिट्स के बिना केवल 100% यादृच्छिक UUIDs बनाते हैं।

udf2457 2 फ़र॰ 2020

इसलिए, लोगों को "बस कुछ यादृच्छिक बाइट्स" के बजाय UUIDv4 का उपयोग करने के लिए कहना थोड़ा बेमानी है, परिभाषा के अनुसार, UUIDv4 का अधिकांश हिस्सा "बस कुछ यादृच्छिक बाइट्स" है !!!!!

जैसा कि मैंने कहा, यूयूआईडी का उपयोग करने का कारण किसी प्रकार की मानकीकृत पद्धति का पालन करना होगा।

इसके अलावा कई डेवलपर आधिकारिक RFC4122 v4 UUID का पालन भी नहीं करते हैं और अनुमानित बिट्स के बिना केवल 100% यादृच्छिक UUIDs बनाते हैं।

मुझे नहीं लगता कि सर्टिफिकेट के डेवलपर्स को पूरी तरह से इस तथ्य के आधार पर चुनाव करना चाहिए कि "कई डेवलपर्स" क्या करते हैं, खासकर बिना किसी विश्वसनीय स्रोत के।

osirisinferi 2 फ़र॰ 2020

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Certbot: खाता आईडी के लिए क्रिप्टोग्राफ़िक हैश का उपयोग बंद करें

सभी 3 टिप्पणियाँ

संबंधित मुद्दों