تغییر مهم در لتس‌انکریپت؛ گواهی‌های رایگان SSL به تحریم‌های آمریکا گره خورد

بسیاری از وب‌سایت‌های ایرانی برای صدور گواهینامه‌ی SSL از خدمات رایگان شرکت «لتس‌انکریپت» (Let’s Encrypt)، استفاده می‌کنند که یکی از مهم‌ترین صادرکنندگان گواهی‌های امنیتی است.

حالا این شرکت در سکوت خبری، یک بند جدید به توافق‌نامه کاربری خود اضافه کرده است که زنگ خطر را برای وب‌مسترها و کسب‌وکارهای ایرانی به صدا درمی‌آورد. بر اساس این تغییر، صدور و استفاده از این گواهی‌ها برای افراد و نهادهای حاضر در کشورهای تحت تحریم‌های جامع آمریکا محدود می‌شود.

جزئیات بند جدید مهم است. طبق متن تازه، کسی که از لتس‌انکریپت گواهی می‌گیرد، باید تضمین کند که در کشور یا قلمرویی که هدف «تحریم‌های فراگیر آمریکا» است مستقر، ثبت‌شده یا حتی ساکن عادی نیست! علاوه بر این، گیرنده گواهی نباید در فهرست اشخاص و نهادهای ممنوع یا محدود براساس قوانین تحریم آمریکا باشد و نباید تحت مالکیت یا کنترل چنین افراد و نهادهایی فعالیت یا به جای آن‌ها عمل کند. به بیان ساده‌تر، موضوع فقط محل سرور یا آی‌پی نیست؛ جایگاه حقوقی صاحب سایت، شرکت، سازمان یا فردی که گواهی می‌گیرد هم مهم است.

بخش حساس ماجرا همین «تحریم‌های فراگیر» است. این نوع تحریم با تحریم‌های موردی فرق دارد؛ یعنی فقط چند فرد یا شرکت خاص را هدف نمی‌گیرد، بلکه تقریباً کل رابطه اقتصادی و ارائه برخی خدمات به آن کشور یا منطقه را محدود می‌کند. ایران، کوبا، کره شمالی و همچنین مناطقی مثل کریمه، دونتسک و لوهانسک اوکراین در دسته تحریم‌های فراگیر آمریکا قرار دارند. بنابراین اگر وب‌سایت‌ها، شرکت‌های میزبانی یا سرویس‌دهندگان در این مناطق به تمدید خودکار گواهی‌های لتس‌انکریپت وابسته باشند، ممکن است در دریافت یا تمدید گواهی به مشکل بخورند.

از این سند نمی‌توان نتیجه گرفت که لتس‌انکریپت همین حالا همه گواهی‌های موجود در ایران یا دیگر مناطق تحریمی را یک‌جا باطل می‌کند. متن بیشتر شبیه یک تعهد قراردادی جدید است: اگر کاربر یا سازمانی مشمول این محدودیت باشد، از نظر لتس‌انکریپت نباید از این گواهی‌ها استفاده کند و اگر شرایطش با تعهدات قرارداد سازگار نباشد، باید برای ابطال گواهی‌ها اقدام کند.

پیامد عملی این تغییر، خود را در زمان صدور اولیه یا تمدید خودکار (از طریق پروتکل‌هایی مثل ACME) نشان می‌دهد. از نظر فنی سایت شما حذف نخواهد شد، اما پس از انقضای گواهی، مرورگرها با نمایش خطای امنیتی، مانع ورود کاربران می‌شوند. مسئله زمانی بحرانی‌تر می‌شود که سایت شما از مکانیزم HSTS استفاده کند. در این حالت، مرورگر به کاربر اجازه نادیده گرفتن هشدار را نمی‌دهد و وب‌سایت عملاً از دسترس خارج خواهد شد.

اگرچه هنوز ابعاد فنی اجرای این تحریم از سوی لتس‌انکریپت مشخص نیست (مثلاً اینکه آیا صرفاً آی‌پی‌های ایران در زمان درخواست تمدید مسدود می‌شوند یا خیر)، اما احتمالا وب‌مسترها باید به فکر جایگزین باشند. استفاده از ارائه‌دهندگان گواهی رایگان دیگر مانند ZeroSSL، بهره‌گیری از گواهی‌های ارائه‌شده توسط کلودفلر (Cloudflare) یا شبکه‌های توزیع محتوای (CDN) داخلی و در نهایت خرید گواهی‌های SSL تجاری از شرکت‌های غیرآمریکایی، از جمله راهکارهایی است که می‌تواند مانع از قطعی سرویس‌ها در آینده شود.

@DevTwitter | <NooshDaroo/>