AddTrust রুট সার্টিফিকেট অবচয় OpenSSL এবং GnuTLS সিস্টেমে ক্র্যাশ ঘটায়

30 মে, রুট সার্টিফিকেটের 20 বছরের বৈধতার মেয়াদ শেষ হয়েছে৷ অ্যাড ট্রাস্ট, যা প্রয়োগ করা সবচেয়ে বড় সার্টিফিকেশন কর্তৃপক্ষ Sectigo (Comodo) এর একটি ক্রস-সাইন করা শংসাপত্র তৈরি করতে। ক্রস-সাইনিং লিগ্যাসি ডিভাইসগুলির সাথে সামঞ্জস্যের জন্য অনুমোদিত যেগুলির রুট শংসাপত্র স্টোরে নতুন USERTRust রুট শংসাপত্র যোগ করা হয়নি৷

তাত্ত্বিকভাবে, AddTrust রুট শংসাপত্রের সমাপ্তি শুধুমাত্র লিগ্যাসি সিস্টেমগুলির সাথে সামঞ্জস্যের লঙ্ঘনের দিকে পরিচালিত করবে (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, ইত্যাদি), যেহেতু ক্রস-সিগনেচারে ব্যবহৃত দ্বিতীয় রুট শংসাপত্রটি রয়ে গেছে। বিশ্বাসের চেইন চেক করার সময় বৈধ এবং আধুনিক ব্রাউজারগুলি এটিকে বিবেচনা করে। অনুশীলনে দেখা দিল OpenSSL 1.0.x এবং GnuTLS ভিত্তিক সহ ব্রাউজার নয় এমন TLS ক্লায়েন্টগুলিতে ক্রস-স্বাক্ষর যাচাইকরণের সমস্যা। সার্ভার যদি AddTrust রুট শংসাপত্রের সাথে বিশ্বাসের একটি চেইন দ্বারা লিঙ্ক করা একটি Sectigo শংসাপত্র ব্যবহার করে থাকে তাহলে সার্ভারটি যদি শংসাপত্রটি পুরনো হয়ে গেছে তা নির্দেশ করে একটি ত্রুটি সহ একটি নিরাপদ সংযোগ আর প্রতিষ্ঠিত হয় না৷

আধুনিক ব্রাউজারগুলির ব্যবহারকারীরা ক্রস-স্বাক্ষরিত Sectigo শংসাপত্রগুলি প্রক্রিয়া করার সময় AddTrust রুট শংসাপত্রের অপ্রচলিততা লক্ষ্য না করলে, বিভিন্ন তৃতীয় পক্ষের অ্যাপ্লিকেশন এবং সার্ভার-সাইড হ্যান্ডলারগুলিতে সমস্যাগুলি পপ আপ হতে শুরু করে, যার ফলে লঙ্ঘন работы অনেকগুলি অবকাঠামো যা উপাদানগুলির মধ্যে মিথস্ক্রিয়া করার জন্য এনক্রিপ্ট করা যোগাযোগ চ্যানেল ব্যবহার করে।

উদাহরণস্বরূপ, ছিল সমস্যার ডেবিয়ান এবং উবুন্টুতে কিছু প্যাকেজ সংগ্রহস্থলে অ্যাক্সেস সহ (এটি একটি শংসাপত্র যাচাইকরণ ত্রুটি তৈরি করতে শুরু করেছে), "কার্ল" এবং "wget" ইউটিলিটিগুলি ব্যবহার করে স্ক্রিপ্ট থেকে অনুরোধগুলি ব্যর্থ হতে শুরু করেছে, গিট ব্যবহার করার সময় ত্রুটিগুলি পরিলক্ষিত হয়েছে, লঙ্ঘন Roku স্ট্রিমিং প্ল্যাটফর্ম কাজ করছে, হ্যান্ডলারদের আর ডাকা হয় না ডোরা и DataDog, শুরু ক্র্যাশ ঘটে Heroku অ্যাপে, থেমে গেছে OpenLDAP ক্লায়েন্ট সংযোগ করে, SMTPS এবং SMTP সার্ভারে STARTTLS-এর সাথে মেল পাঠানোর সমস্যা সনাক্ত করা হয়। এছাড়াও, বিভিন্ন রুবি, পিএইচপি এবং পাইথন স্ক্রিপ্টগুলিতে সমস্যাগুলি পরিলক্ষিত হয় যা একটি HTTP ক্লায়েন্টের সাথে একটি মডিউল ব্যবহার করে। ব্রাউজার সমস্যা প্রভাবিত করে Epiphany, যা বিজ্ঞাপন ব্লকিং তালিকা লোড করা বন্ধ করে দিয়েছে।

গো প্রোগ্রামগুলি এই সমস্যা দ্বারা প্রভাবিত হয় না কারণ গো অফার করে নিজস্ব বাস্তবায়ন টিএলএস

এটা অনুমিত ছিলযে সমস্যাটি পুরানো ডিস্ট্রিবিউশন রিলিজকে প্রভাবিত করে (ডেবিয়ান 9, উবুন্টু 16.04 সহ, আরএইচইএল 6/7) যা সমস্যাযুক্ত OpenSSL শাখা ব্যবহার করে, কিন্তু সমস্যা নিজেকে প্রকাশ করেছে এছাড়াও যখন APT প্যাকেজ ম্যানেজার ডেবিয়ান 10 এবং উবুন্টু 18.04/20.04 এর বর্তমান রিলিজে চলছে, যেহেতু APT GnuTLS লাইব্রেরি ব্যবহার করে। সমস্যার মূল হল যে অনেক TLS/SSL লাইব্রেরি একটি শংসাপত্রকে লিনিয়ার চেইন হিসাবে পার্স করে, যেখানে RFC 4158 অনুসারে, একটি শংসাপত্র একাধিক ট্রাস্ট অ্যাঙ্কর সহ একটি নির্দেশিত বিতরণ করা বৃত্তাকার গ্রাফ উপস্থাপন করতে পারে যা বিবেচনায় নেওয়া দরকার। OpenSSL এবং GnuTLS-এর এই ত্রুটি সম্পর্কে এটি ছিল পরিচিত বহু বছর ধরে. OpenSSL-এ সমস্যাটি 1.1.1 শাখায় এবং এর মধ্যে ঠিক করা হয়েছে gnuTLS অবশেষ অসংশোধিত.

একটি সমাধান হিসাবে, সিস্টেম স্টোর থেকে "AddTrust External CA Root" শংসাপত্রটি সরানোর পরামর্শ দেওয়া হচ্ছে (উদাহরণস্বরূপ, /etc/ca-certificates.conf এবং /etc/ssl/certs থেকে সরান, এবং তারপরে "update-ca" চালান -প্রত্যয়নপত্র -f -v"), এর পরে OpenSSL সাধারনত ক্রস-সাই করা সার্টিফিকেটগুলিকে তার অংশগ্রহণের সাথে প্রক্রিয়া করতে শুরু করে। APT প্যাকেজ ম্যানেজার ব্যবহার করার সময়, আপনি নিজের ঝুঁকিতে পৃথক অনুরোধের জন্য শংসাপত্র যাচাইকরণ অক্ষম করতে পারেন (উদাহরণস্বরূপ, "apt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false") .

মধ্যে সমস্যা ব্লক করতে ফেডোরা и RHEL ব্ল্যাকলিস্টে AddTrust সার্টিফিকেট যোগ করার প্রস্তাব করা হয়েছে:

trust dump —filter «pkcs11:id=%AD%BD%98%7A%34%B4%26%F7%FA%C4%26%54%EF%03%BD%E0%24%CB%54%1A;type=cert» \
> /etc/pki/ca-trust/source/blacklist/addtrust-external-root.p11-kit
update-ca-ট্রাস্ট নির্যাস

কিন্তু এই পদ্ধতি কাজ না GnuTLS-এর জন্য (উদাহরণস্বরূপ, wget ইউটিলিটি চালানোর সময় একটি শংসাপত্র যাচাইকরণ ত্রুটি প্রদর্শিত হতে থাকে)।

সার্ভার সাইডে আপনি পারেন পরিবর্তন করতে ক্রম সার্ভার দ্বারা ক্লায়েন্টের কাছে প্রেরিত ট্রাস্ট চেইনে শংসাপত্রের তালিকা করা (যদি "অ্যাডট্রাস্ট এক্সটার্নাল CA রুট"-এর সাথে যুক্ত শংসাপত্রটি তালিকা থেকে সরানো হয়, তাহলে ক্লায়েন্টের যাচাইকরণ সফল হবে)। চেক করতে এবং বিশ্বাসের একটি নতুন চেইন তৈরি করতে, আপনি পরিষেবাটি ব্যবহার করতে পারেন৷ whatsmychaincert.com. সেকটিগোও প্রদান করা হয় বিকল্প ক্রস-স্বাক্ষরিত মধ্যবর্তী শংসাপত্র "এএএ সার্টিফিকেট পরিষেবা", যা 2028 সাল পর্যন্ত বৈধ হবে এবং OS এর পুরানো সংস্করণগুলির সাথে সামঞ্জস্য বজায় রাখবে৷

সংযোজন: সমস্যাও প্রকাশ করা হয় LibreSSL এ।

উত্স: opennet.ru