ProHoster > Blog > Internettet Nyheder > UdlÞbet af rodsikkerhedscertifikatet fra IdenTrust vil medfÞre tab af tillid til Let's Encrypt pÄ Êldre enheder.

UdlÞbet af rodsikkerhedscertifikatet fra IdenTrust vil medfÞre tab af tillid til Let's Encrypt pÄ Êldre enheder.

Den 30. september kl. 17:01 moskvatid udlĂžber levetiden for virksomhedens IdenTrust (DST Root CA X3) rodcertifikat, som blev brugt til krydssignering af rodcertifikatet fra certifikatmyndigheden Let’s Encrypt (ISRG Root X1), som drives af fĂŠllesskabet og tilbyder certifikater gratis til alle interesserede. Krydsigneringen sikrede tillid til Let’s Encrypt-certifikater pĂ„ en bred vifte af enheder, operativsystemer og browsere i perioden med integrationen af Let’s Encrypts eget rodcertifikat i rodcertifikatlagre.

Oprindeligt blev det planlagt, at efter udlĂžb af DST Root CA X3 skulle Let’s Encrypts projekt overgĂ„ til kun at generere signaturer med sit eget rodcertifikat, men dette ville fĂžre til tab af kompatibilitet med mange ĂŠldre systemer, der ikke havde tilfĂžjet Let’s Encrypts rodcertifikat til deres certifikatlagre. Cirka 30% af de Android-enheder, der er i brug, har ikke oplysninger om Let’s Encrypts rodcertifikat, som fĂžrst blev understĂžttet med Android 7.1.1, der blev udgivet i slutningen af 2016.

Let’s Encrypt havde ikke planer om at indgĂ„ en ny krydssigneringsaftale, da dette pĂ„lĂŠgger yderligere ansvar pĂ„ deltagerne i aftalen, fjerner selvstĂŠndighed og begrĂŠnser hĂ„ndtering af alle procedurer og regler fra den anden certifikatmyndighed. Men pĂ„ grund af potentielle problemer pĂ„ mange Android-enheder blev planen revideret. Der blev indgĂ„et en ny aftale med certifikatmyndigheden IdenTrust, som skabte et alternativt krydssigneret mellemcertifikat for Let’s Encrypt. Krydssigneringen vil vĂŠre gyldig i tre Ă„r og sikre support til Android-enheder fra version 2.3.6.

Det nye mellemcertifikat dékker dog ikke mange andre foréldede systemer. For eksempel, efter udlþbet af DST Root CA X3-certifikatet den 30. september, vil Let’s Encrypt-certifikater ikke léngere blive accepteret i allerede ikke-understþttede firmware- og operativsystemer, hvor der vil vére behov for manuel tilfþjelse af ISRG Root X1-certifikatet til rodcertifikatlagret for at sikre tillid til Let’s Encrypt-certifikater. Problemerne vil manifestere sig i:

  • OpenSSL op til version 1.0.2 inklusiv (vedligeholdelse af version 1.0.2 blev stoppet i december 2019);
  • NSS < 3.26;
  • Java 8 < 8u141, Java 7 < 7u151;
  • Windows < XP SP3;
  • macOS < 10.12.1;
  • iOS < 10 (iPhone < 5);
  • Android < 2.3.6;
  • Mozilla Firefox < 50;
  • Ubuntu < 16.04;
  • Debian < 8.

For OpenSSL 1.0.2 skyldes problemet en fejl, der forhindrer korrekt behandling af krydssignede certifikater, nÄr et af de rodcertifikater, der anvendes til signering, er udlÞbet, selvom andre gyldige tillidskÊder er bevaret. Problemet blev fÞrste gang opdaget sidste Är efter udlÞbet af certifikatet AddTrust, der blev brugt til krydssignering i certifikaterne fra certifikatmyndigheden Sectigo (Comodo). Problemet bestÄr i, at OpenSSL tolkede certifikatet som en lineÊr kÊde, mens certifikatet i henhold til RFC 4158 kan reprÊsentere en rettet distribueret cyklisk grafik med flere tillidsanker, som skal tages i betragtning.

Brugere af gamle distributioner, der er bundet til OpenSSL 1.0.2, tilbydes tre alternative lÞsninger pÄ problemet:

  • Fjern manuelt rodcertifikatet IdenTrust DST Root CA X3 og installer det isolerede (ikke krydssignede) rodcertifikat ISRG Root X1.
  • Ved kĂžrsel af kommandoerne openssl verify og s_client kan du angive indstillingen "--trusted_first".
  • Brug pĂ„ serveren et certifikat, der er underskrevet af det isolerede rodcertifikat SRG Root X1, der ikke har krydssignering. Denne metode vil medfĂžre tab af kompatibilitet med gamle Android-klienter.

Derudover kan det nĂŠvnes, at Let’s Encrypt-projektet har nĂ„et grĂŠnsen for to milliarder genererede certifikater. GrĂŠnsen pĂ„ Ă©n milliard blev nĂ„et i februar sidste Ă„r. Der genereres dagligt 2,2-2,4 millioner nye certifikater. Antallet af aktive certifikater er 192 millioner (certifikatet gĂŠlder i tre mĂ„neder) og dĂŠkker omkring 260 millioner domĂŠner (for et Ă„r siden dĂŠkkede 195 millioner domĂŠner, to Ă„r siden – 150 millioner, tre Ă„r siden – 60 millioner). IfĂžlge statistikken fra Firefox Telemetry udgĂžr den globale andel af HTTPS-sides forespĂžrgsler 82% (for et Ă„r siden – 81%, to Ă„r siden – 77%, tre Ă„r siden – 69%, fire Ă„r siden – 58%).

Kilde: opennet.ru

KĂžb pĂ„lidelig webhosting med DDoS-beskyttelse, VPS VDS-servere đŸ”„ KĂžb pĂ„lidelig webhosting med DDoS-beskyttelse, VPS VDS-servere | ProHoster