{"id":83443,"date":"2020-05-31T13:42:09","date_gmt":"2020-05-31T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls"},"modified":"2020-05-31T13:42:09","modified_gmt":"2020-05-31T11:42:09","slug":"ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","title":{"rendered":"Udl\u00f8b af rodcertifikatet AddTrust har f\u00f8rt til fejl i systemer med OpenSSL og GnuTLS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

30. maj udl\u00f8b den 20-\u00e5rige gyldighed af rodcertifikatet AddTrust<\/a><\/noindex>, som brugt<\/a><\/noindex> til at danne en kryds-signatur i certifikaterne fra en af de st\u00f8rste certificeringsmyndigheder Sectigo (Comodo). Kryds-signaturen gjorde det muligt at sikre kompatibilitet med \u00e6ldre enheder, hvor det nye rodcertifikat USERTrust ikke var blevet tilf\u00f8jet i rodcertifikatlagringen. <\/p>\n

\"Udl\u00f8b<\/a><\/noindex><\/center><\/p>\n

Teoretisk set skulle udl\u00f8bet af rodcertifikatet AddTrust kun f\u00f8re til tab af kompatibilitet med \u00e6ldre systemer (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9 osv.), da det andet rodcertifikat, der anvendes i kryds-signaturen, forbliver aktuelt, og moderne browsere tager det i betragtning ved kontrol af tillidsk\u00e6den. I praksis opstod der<\/a><\/noindex> problemer med verificeringen af kryds-signaturen i TLS-klienter, der ikke bruger browsere, herunder dem baseret p\u00e5 OpenSSL 1.0.x og GnuTLS. Sikker forbindelse kunne ikke l\u00e6ngere etableres med en fejlmeddelelse om, at certifikatet var for\u00e6ldet, hvis serveren anvendte et certifikat fra Sectigo, der var k\u00e6det sammen med rodcertifikatet AddTrust.<\/p>\n

Hvis brugerne af moderne browsere ikke bem\u00e6rkede udl\u00f8bet af rodcertifikatet AddTrust ved behandling af kryds-signeret certifikater fra Sectigo, begyndte der at opst\u00e5 problemer i forskellige tredjepartsapplikationer og serverbehandlere, hvilket f\u00f8rte til overtr\u00e6delse<\/a><\/noindex> driften<\/a><\/noindex> af mange infrastrukturer, der bruger krypterede kommunikationskanaler til interaktion mellem komponenter. <\/p>\n

For eksempel opstod der problemer<\/a><\/noindex> med adgang til nogle pakke-repositorier i Debian og Ubuntu (apt begyndte at vise en fejl ved certifikatvalidering), er der opst\u00e5et fejl ved anrop fra scripts ved hj\u00e6lp af v\u00e6rkt\u00f8jerne \u00abcurl\u00bb og \u00abwget\u00bb, og der observeres fejl ved brug af Git, driften af<\/a><\/noindex> streamingplatformen Roku blev forstyrret, behandlere kunne ikke l\u00e6ngere kaldet Stripe<\/a><\/noindex> og DataDog<\/a><\/noindex>, der begyndte at opst\u00e5 nedbrud<\/a><\/noindex> i Heroku-applikationer, sluttede<\/a><\/noindex> OpenLDAP-klienter kunne ikke l\u00e6ngere forbinde, der blev registreret problemer med at sende e-mails til SMTPS- og SMTP-servere med STARTTLS. Derudover blev der observeret problemer i forskellige Ruby-, PHP- og Python-scripts, der brugte HTTP-klientmodulet. Fra browsere var problemet affects<\/a><\/noindex> Epiphany, hvor blokering af reklamer ikke l\u00e6ngere blev indl\u00e6st.<\/p>\n

Programmer skrevet i Go er ikke p\u00e5virket af problemet, da Go tilbyder egen implementering<\/a><\/noindex> TLS.<\/p>\n

Det var forudset<\/a><\/noindex>, at problemet p\u00e5virker \u00e6ldre versioner af distributioner (herunder Debian 9, Ubuntu 16.04, RHEL 6\/7<\/a><\/noindex>) hvor problematiske versioner af OpenSSL anvendes, men problemet opstod<\/a><\/noindex> ogs\u00e5 ved brug af APT-pakkestyren i de aktuelle versioner Debian 10 og Ubuntu 18.04\/20.04, da APT bruger biblioteket GnuTLS. Problemet er, at mange TLS\/SSL-biblioteker fortolker certifikatet som en line\u00e6r k\u00e6de, mens det i overensstemmelse med RFC 4158 kan repr\u00e6sentere en rettet distribueret cirkul\u00e6r graf med flere tillidsanker punkter, som skal tages i betragtning. Denne manglende funktionalitet i OpenSSL og GnuTLS har<\/a><\/noindex> , at den fortsat vil bruge 48-volts str\u00f8mforsyninger.<\/a><\/noindex> har eksisteret i mange \u00e5r<\/a><\/noindex>. I OpenSSL blev problemet l\u00f8st i version 1.1.1, mens der i GnuTLS<\/a><\/noindex> forbliver ikke er nogen l\u00f8sning<\/a><\/noindex>.<\/p>\n

Som en midlertidig l\u00f8sning p\u00e5 fejlen foresl\u00e5s det at fjerne certifikatet \u00abAddTrust External CA Root\u00bb fra systemlageret (f.eks. fjerne det fra \/etc\/ca-certificates.conf og \/etc\/ssl\/certs, og derefter k\u00f8re \u00abupdate-ca-certificates -f -v\u00bb), hvorefter OpenSSL begynder at h\u00e5ndtere krydsunderskrevne certifikater korrekt. Ved brug af APT-pakkeh\u00e5ndtereren kan man p\u00e5 egen risiko deaktivere certifikatvalideringen for enkelte anmodninger (f.eks. \u00abapt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false\u00bb). <\/p>\n

For at blokere problemet i Fedora<\/a><\/noindex> og RHEL<\/a><\/noindex> foresl\u00e5s det at s\u00e6tte AddTrust-certifikatet p\u00e5 sorte lister:<\/p>\n

tillidsdump —filter «pkcs11:id=;type=cert» \
\n > \/etc\/pki\/ca-trust\/source\/blacklist\/addtrust-external-root.p11-kit
\n update-ca-trust extract<\/p>\n

Men denne metode virker ikke<\/a><\/noindex> for GnuTLS (for eksempel forts\u00e6tter fejlmeddelelsen om certifikatverifikation ved k\u00f8rsel af wget v\u00e6rkt\u00f8jet).<\/p>\n

P\u00e5 serversiden kan man \u00e6ndre<\/a><\/noindex> r\u00e6kkef\u00f8lgen<\/a><\/noindex> opregning af certifikater i tillidsk\u00e6den, der sendes fra serveren til klienten (hvis det certifikat, der er knyttet til \u00abAddTrust External CA Root\u00bb, fjernes fra listen, vil valideringen fra klienten blive best\u00e5et). For at validere og generere en ny tillidsk\u00e6de kan man bruge tjenesten whatsmychaincert.com<\/a><\/noindex>. Firmaet Sectigo har ogs\u00e5 tilvejebragt<\/a><\/noindex> alternativt krydsunderskrevet mellemledscertifikat \u00abAAA Certificate Services<\/a><\/noindex>\u00bb, som vil v\u00e6re gyldigt indtil 2028 og g\u00f8re det muligt at opretholde kompatibilitet med \u00e6ldre versioner af operativsystemet.<\/p>\n

Till\u00e6g: Problemet eksisterer ogs\u00e5 optr\u00e6der<\/a><\/noindex> i LibreSSL.<\/p>\n

<\/a><\/noindex><\/p>\n

Kilde: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438 (cross-signed) \u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u0445 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0438\u0445 \u0446\u0435\u043d\u0442\u0440\u043e\u0432 Sectigo (Comodo). \u041f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u043c\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0432 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0435 \u0431\u044b\u043b \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 USERTRust. \u0422\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0432\u0435\u0441\u0442\u0438 \u043b\u0438\u0448\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":83444,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-83443","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Udl\u00f8bet af rodcertifikatet AddTrust f\u00f8rte til fejl i systemer med OpenSSL og GnuTLS | ProHoster","description":"Den 30. maj udl\u00f8b den 20-\u00e5rige gyldighed af rodcertifikatet AddTrust, som","canonical_url":"https:\/\/prohoster.info\/da\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u043f\u0440\u0438\u0432\u0435\u043b\u043e \u043a \u0441\u0431\u043e\u044f\u043c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u0441 OpenSSL \u0438 GnuTLS | ProHoster","og:description":"30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439","og:url":"https:\/\/prohoster.info\/da\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-31T11:42:09+00:00","article:modified_time":"2020-05-31T11:42:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"83443","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:17:29","updated":"2022-09-28 18:33:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/83443","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=83443"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/83443\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/83444"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=83443"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=83443"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=83443"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}