Zánik kořenového certifikátu společnosti IdenTrust (DST Root CA X3), používaného pro kros-podpis kořenového certifikátu certifikační autority Let’s Encrypt, vedl k problémům s ověřováním certifikátů Let’s Encrypt v projektech, které používají starší verze OpenSSL a GnuTLS. Problémy se také dotkly knihovny LibreSSL, jejíž vývojáři nezohlednili minulou zkušenost s poruchami, které nastaly po zániku kořenového certifikátu AddTrust certifikační autority Sectigo (Comodo).
Připomínáme, že v verzích OpenSSL až do větve 1.0.2 včetně a v GnuTLS do verze 3.6.14 byla chyba, která nedovolovala správně zpracovat kros-podpisové certifikáty v případě zániku jednoho z kořenových certifikátů zapojených do podpisu, i když byly k dispozici jiné platné řetězce důvěry (v případě Let’s Encrypt zánik kořenového certifikátu IdenTrust neumožňuje provést ověření, i když systém podporuje vlastní kořenový certifikát Let’s Encrypt, platný do roku 2030). Podstata chyby spočívá v tom, že starší verze OpenSSL a GnuTLS zpracovávaly certifikát jako lineární řetězec, zatímco podle RFC 4158 může certifikát představovat orientovaný distribučně cyklický graf s více body důvěry, které je třeba brát v úvahu.
Jako alternativní řešení k odstranění chyby se doporučuje odstranit certifikát „DST Root CA X3“ ze systémového úložiště ( /etc/ca-certificates.conf a /etc/ssl/certs), a poté spustit příkaz „update-ca-certificates -f -v“. V CentOS a RHEL můžete přidat certifikát „DST Root CA X3“ na černou listinu: trust dump —filter „pkcs11:id=“ | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract
Některé z problémů, které se objevily po zániku kořenového certifikátu IdenTrust:
- V OpenBSD přestala fungovat utilita syspatch, která slouží k instalaci binárních aktualizací systému. Projekt OpenBSD dnes v naléhavém režimu vydal patche pro verze 6.8 a 6.9, které odstraňují v LibreSSL problémy s ověřováním křížově podepsaných certifikátů, jeden z kořenových certifikátů v řetězci důvěry měl totiž prošlou platnost. Jako obchoďák řešení problému se doporučuje v /etc/installurl přepnout z HTTPS na HTTP (bezpečnosti to neohrožuje, protože aktualizace jsou navíc ověřovány digitálním podpisem) nebo zvolit alternativní zrcadlo (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). Také je možné odstranit prošlý kořenový certifikát DST Root CA X3 z souboru /etc/ssl/cert.pem.
- V DragonFly BSD se podobné problémy objevují při práci s DPorts. Při spuštění balíčkového správce pkg se zobrazuje chyba ověřování certifikátu. Oprava byla dnes přidána do větví master, DragonFly_RELEASE_6_0 a DragonFly_RELEASE_5_8. Jako obchoďák cesta lze odstranit certifikát DST Root CA X3.
- Byl narušen proces ověřování certifikátů Let’s Encrypt v aplikacích na základě platformy Electron. Problém byl vyřešen v aktualizacích 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- V některých distribucích se objevují problémy s přístupem k repozitářům balíčků při používání balíčkového správce APT, což souvisí se starými verzemi knihovny GnuTLS. Problému byl vystaven Debian 9, který používal neopravovaný balíček GnuTLS, což vedlo k problémům při přístupu k deb.debian.org u uživatelů, kteří včas nenainstalovali aktualizace (oprava gnutls28-3.5.8-5+deb9u6 byla navržena 17. září). Jako obchoďák cesta k vyřešení problému se doporučuje odstranit DST_Root_CA_X3.crt ze souboru /etc/ca-certificates.conf.
- Došlo k narušení funkce acme-client v distribuci pro vytváření firewallů OPNsense, o problému bylo hlášeno předem, ale vývojáři nestihli včas vydat patch.
- Problém zasáhl balíček OpenSSL 1.0.2k v RHEL/CentOS 7, avšak před týdnem byla pro RHEL 7 a CentOS 7 vydána aktualizace balíčku ca-certificates-2021.2.50-72.el7_9.noarch, z něhož byl odstraněn certifikát IdenTrust, čímž bylo předem zablokováno projevování problému. Podobná aktualizace byla před týdnem zveřejněna také pro Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 a Ubuntu 18.04. Protože aktualizace byly vydány s předstihem, problém s ověřováním certifikátů Let’s Encrypt se dotkl pouze uživatelů starších větví RHEL/CentOS a Ubuntu, kteří pravidelně neinstalují aktualizace.
- Byl narušen proces ověřování certifikátů v grpc.
- Chyba při sestavování platformy Cloudflare Pages.
- Problémy v Amazon Web Services (AWS).
- Problémy s připojením k databázi u uživatelů DigitalOcean.
- Chyba v provozu cloudové platformy Netlify.
- Problémy s přístupem ke službám Xero.
- Chyba při pokusu o navázání TLS spojení k Web API služby MailGun.
- Chyby ve verzích macOS a iOS (11, 13, 14), které by teoreticky neměly být dotčeny problémem.
- Chyba ve službách Catchpoint.
- Chyba ověřování certifikátů při přístupu k API PostMan.
- Chyba v provozu Guardian Firewall.
- Problém s fungováním podpůrné stránky monday.com.
- Chyba v provozu platformy Cerb.
- Chyba při kontrole uptime v Google Cloud Monitoring.
- Problém s ověřováním certifikátů v Cisco Umbrella Secure Web Gateway.
- Problémy s připojením k proxy Bluecoat a Palo Alto.
- V OVHcloud došlo k problémům s připojením k OpenStack API.
- Problémy s generováním zpráv v Shopify.
- Byly zaznamenány problémy při přístupu k API Heroku.
- Chyba v práci Ledger Live Manager.
- Chyba ověřování certifikátu v nástrojích pro vývojáře aplikací pro Facebook.
- Problémy v Sophos SG UTM.
- Problémy s ověřováním certifikátů v cPanel.
Zdroj: opennet.ru
