{"id":84766,"date":"2020-06-10T13:43:11","date_gmt":"2020-06-10T11:43:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory"},"modified":"2020-06-10T13:43:11","modified_gmt":"2020-06-10T11:43:11","slug":"problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","title":{"rendered":"Problemet med for\u00e6ldede rodcertifikater. P\u00e5 agendaen: Let's Encrypt og smarte fjernsyn","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Problemet
\n
\nFor the browser to authenticate the website, it presents a valid chain of certificates. A typical chain is shown above, and there can be more than one intermediate certificate. The minimum number of certificates in a valid chain is three.<\/p>\n

The root certificate is the heart of the certification authority. It is literally embedded in your OS or browser and physically present on your device. It cannot be changed from the server side. It requires a forced update of the OS or embedded software on the device.<\/p>\n

Security expert Scott Helme skriver<\/a><\/noindex>, at de vigtigste problemer vil opst\u00e5 for certifikatcenteret Let’s Encrypt, fordi det i dag er det mest popul\u00e6re CA p\u00e5 internettet, og dets rodcertifikat snart vil \"udl\u00f8be\". Skift af rod Let’s Encrypt is scheduled for July 8, 2020.<\/a><\/noindex>.
\n<\/a><\/noindex>
\nThe end entity and intermediate certificates of the certification authority (CA) are delivered to the client from the server, while the root certificate is with the client allerede<\/i>, allowing a chain to be constructed with this collection of certificates to authenticate the website. <\/p>\n

The problem is that each certificate has an expiration date, after which it needs to be replaced. For example, starting from September 1, 2020, there are plans to introduce restrictions on the validity period of server TLS certificates in Safari browser. a maximum of 398 days.<\/a><\/noindex>.<\/p>\n

This means that we will all have to replace server certificates at least every 12 months. This restriction only applies to server certificates, and it ikke<\/i> also applies to root CA certificates.<\/p>\n

CA certificates are regulated by a different set of rules, so they have different expiration restrictions. It is very common to see intermediate certificates with a validity period of 5 years and root certificates with a lifespan of even 25 years! <\/p>\n

There are usually no problems with intermediate certificates because they are delivered to the client by the server, which itself changes its own certificate much more frequently, so it simply replaces the intermediate one during that process. It is relatively easy to replace along with the server certificate, unlike the root certificate of the CA.<\/p>\n

Som vi allerede har n\u00e6vnt, er den rod-CA indbygget direkte i selve klientenheden, i operativsystemet, i browseren eller andet software. \u00c6ndringer af rod-CA'en kan ikke kontrolleres af webstedet. Her kr\u00e6ves en opdatering p\u00e5 klienten, hvad enten det er en opdatering af operativsystemet eller softwaren.<\/p>\n

Nogle rod-CA'er har eksisteret i meget lang tid, op til 20-25 \u00e5r. Snart vil nogle af de \u00e6ldste rod-CA'er n\u00e6rme sig slutningen af deres naturlige liv, deres tid er ved at udl\u00f8be. For de fleste af os vil dette overhovedet ikke v\u00e6re et problem, fordi CA har oprettet nye rodcertifikater, som allerede i mange \u00e5r er blevet distribueret over hele verden i opdateringer af operativsystemer og browsere. Men hvis nogen ikke har opdateret deres operativsystem eller browser i lang tid, kan det v\u00e6re et problem.<\/p>\n

S\u00e5dan en situation opstod den 30. maj 2020 kl. 10:48:38 GMT. Det er det pr\u00e6cise tidspunkt, da rodcertifikatet AddTrust<\/a><\/noindex> fra certifikatcenteret Comodo (Sectigo) udl\u00f8b.<\/p>\n

Det blev brugt til krydsp\u00e5tegning for at sikre kompatibilitet med for\u00e6ldede enheder, hvis lager ikke har det nye rodcertifikat USERTrust.<\/p>\n

Desv\u00e6rre opstod problemer ikke kun i for\u00e6ldede browsere, men ogs\u00e5 i ikke-browserklienter baseret p\u00e5 OpenSSL 1.0.x, LibreSSL og GnuTLS<\/a><\/noindex>. For eksempel i tv-bokse Roku<\/a><\/noindex>, tjenesten Heroku<\/a><\/noindex>, i Fortinet-apps, Chargify, p\u00e5 .NET Core 2.0-platformen under Linux og mange andre<\/a><\/noindex>.<\/p>\n

Det forventedes, at problemet kun ville p\u00e5virke for\u00e6ldede systemer (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9 osv.), da moderne browsere kan bruge det andet rodcertifikat USERTRust. Men faktum er, at der opstod fejl i hundreder af webtjenester, der brugte de frie biblioteker OpenSSL 1.0.x og GnuTLS. Den sikre forbindelse kunne ikke etableres med en fejlmeddelelse om, at certifikatet var for\u00e6ldet.<\/p>\n

N\u00e6ste er Let’s Encrypt<\/h1>\n

\nEndnu et godt eksempel p\u00e5 det kommende skift af rod-CA er certifikatcenteret Let’s Encrypt. Yderligere i april 2019<\/a><\/noindex> planlagde de at skifte fra k\u00e6den Identrust til deres egen k\u00e6de ISRG Root, men dette skete ikke<\/a><\/noindex>.<\/p>\n

\"Problemet
\n
\n\"P\u00e5 grund af bekymringer om utilstr\u00e6kkelig udbredelse af ISRG-roden p\u00e5 Android-enheder, har vi besluttet at flytte datoen for overgangen til vores eget rod fra 8. juli 2019 til 8. juli 2020,\" hedder det i den officielle meddelelse fra Let’s Encrypt.<\/p>\n

Datoen m\u00e5tte flyttes p\u00e5 grund af et problem, der kaldes \"rodspredning\" (root propagation), mere pr\u00e6cist manglen p\u00e5 rodspredning, n\u00e5r rod CA ikke er bredt anerkendt blandt alle klienter. <\/p>\n

I \u00f8jeblikket bruger Let’s Encrypt et kryds-signeret mellemcertifikat med k\u00e6de til roden IdenTrust DST Root CA X3. Dette rodcertifikat blev udstedt allerede i september 2000 og udl\u00f8ber den 30. september 2021. Inden da planl\u00e6gger Let’s Encrypt at overg\u00e5 til sin egen selvsignerede rod ISRG Root X1.<\/p>\n

\"Problemet
\n
\nRod ISRG blev udsendt den 4. juni 2015. Efter dette begyndte processen med at f\u00e5 det godkendt som et certifikationscenter, som blev afsluttet den 6. august 2018.<\/a><\/noindex>Fra dette tidspunkt var rod CA tilg\u00e6ngelig for alle klienter via opdatering af operativsystemet eller software. Alt, hvad der skulle g\u00f8res, var at installere opdateringen. <\/p>\n

Men det er her problemet ligger.<\/p>\n

Hvis din mobiltelefon, tv eller andet udstyr ikke er blevet opdateret i to \u00e5r \u2014 hvordan vil den s\u00e5 vide om det nye rodcertifikat ISRG Root X1? Og hvis det ikke installeres i systemet, s\u00e5 vil alle servercertifikater fra Let’s Encrypt blive betragtet som ugyldige af dit udstyr, s\u00e5 snart Let’s Encrypt skifter til det nye rod. I Android-\u00f8kosystemet er der mange for\u00e6ldede enheder, som ikke er blevet opdateret i lang tid.<\/p>\n

\"Problemet
\nAndroid-\u00f8kosystemet<\/i><\/p>\n

Det er derfor, Let’s Encrypt har udsat overgangen til sin egen ISRG-rod og stadig bruger det mellemliggende led, som g\u00e5r ned til IdenTrust-roden. Men overgangen skal g\u00f8res uanset hvad. Og datoen for skiftet af rod er fastsat til den 8. juli 2020.<\/a><\/noindex>.<\/p>\n

For at kontrollere, om rod ISRG X1 er installeret p\u00e5 din enhed (tv, streamingboks eller anden klient), skal du \u00e5bne testwebstedet https:\/\/valid-isrgrootx1.letsencrypt.org\/<\/a><\/noindex>. Hvis der ikke vises nogen sikkerhedsadvarsel, er alt normalt i orden. <\/p>\n

Let’s Encrypt er ikke den eneste, der st\u00e5r over for udfordringen med overgangen til det nye rod. Kryptografi p\u00e5 internettet begyndte at blive brugt for lidt over 20 \u00e5r siden, s\u00e5 netop nu er det tid til, at mange rodcertifikater udl\u00f8ber.<\/p>\n

Ejere af smart-tv, der ikke har opdateret deres Smart TV-software i mange \u00e5r, kan st\u00e5 over for et s\u00e5dant problem. For eksempel den nye rod GlobalSign R5 Root<\/a><\/noindex> blev udgivet i 2012, og efterf\u00f8lgende kan nogle gamle Smart TV ikke etablere en k\u00e6de til det, fordi denne rod CA ganske enkelt mangler for dem. Is\u00e6r kunne disse kunder ikke etablere en sikker forbindelse til bbc.co.uk. For at l\u00f8se problemet m\u00e5tte BBC's administratorer finde p\u00e5 en l\u00f8sning: de byggede en alternativ k\u00e6de til disse kunder<\/a><\/noindex> gennem yderligere mellemscertifikater ved hj\u00e6lp af gamle r\u00f8dder R3 Root<\/a><\/noindex> og R1 Root<\/a><\/noindex>, som endnu ikke er udl\u00f8bet.<\/p>\n

www.bbc.co.uk (Leaf)\nGlobalSign ECC OV SSL CA 2018 (Intermediate)\nGlobalSign Root CA - R5 (Intermediate)\nGlobalSign Root CA - R3 (Intermediate)<\/pre>\n
\nDette er en midlertidig l\u00f8sning. Problemet vil ikke forsvinde, medmindre klientsoftwaren opdateres. Et smart TV er i bund og grund en begr\u00e6nset computer med Linux. Uden opdateringer vil dets rodcertifikater uundg\u00e5eligt udl\u00f8be.<\/p>\n
Dette g\u00e6lder for alle enheder, ikke kun fjernsyn. Hvis du har nogen enhed, der er tilsluttet internettet og annonceret som en 'smart' enhed, s\u00e5 er problemet med udl\u00f8bne certifikater n\u00e6sten helt sikkert relevant. Hvis enheden ikke opdateres, vil rod CA-lageret med tiden blive for\u00e6ldet, og til sidst vil problemet dukke op. Hvor hurtigt problemet opst\u00e5r, afh\u00e6nger af tidspunkterne for den seneste opdatering af rod CA-lageret. Det kan v\u00e6re flere \u00e5r f\u00f8r udgivelsesdatoen for selve enheden.<\/p>\n
For resten er det grunden til, at nogle store medieplatforme ikke kan bruge moderne automatiserede certifikatcentre som Let’s Encrypt, skriver Scott Helme. De er ikke velegnede til smart-tv, og antallet af r\u00f8dder er for lille til at sikre st\u00f8tte til certifikatet p\u00e5 for\u00e6ldede enheder. Ellers vil tv'et simpelthen ikke kunne k\u00f8re moderne streamingtjenester.<\/p>\n
Den seneste h\u00e6ndelse med AddTrust viste, at selv store IT-virksomheder ikke er parate til, at en rodcertifikat udl\u00f8ber.<\/p>\n
L\u00f8sningen p\u00e5 problemet er kun en \u2014 opdatering. Udviklere af smarte enheder skal s\u00f8rge for en opdateringsmekanisme for software og rodcertifikater i god tid. P\u00e5 den anden side er det ikke rentabelt for producenterne at sikre driften af deres enheder efter garantiperioden.<\/p>\n
\n\"Problemet
\n<\/a><\/noindex>
\n
Kilde: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0427\u0442\u043e\u0431\u044b \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u043c\u043e\u0433 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0435\u0431-\u0441\u0430\u0439\u0442, \u0442\u043e\u0442 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0435\u0431\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u0422\u0438\u043f\u0438\u0447\u043d\u0430\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u0430 \u0441\u0432\u0435\u0440\u0445\u0443, \u0432 \u043d\u0435\u0439 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430. \u041c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u0432 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0440\u0430\u0432\u043d\u043e \u0442\u0440\u0451\u043c. \u041a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u2014 \u0441\u0435\u0440\u0434\u0446\u0435 \u0446\u0435\u043d\u0442\u0440\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438. \u041e\u043d \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0432\u0441\u0442\u0440\u043e\u0435\u043d \u0432 \u0432\u0430\u0448\u0443 \u041e\u0421 \u0438\u043b\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440, \u043e\u043d \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0430 \u0432\u0430\u0448\u0435\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435. \u0415\u0433\u043e \u043d\u0435 \u043f\u043e\u043c\u0435\u043d\u044f\u0435\u0448\u044c \u0441\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":84767,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-84766","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Problemet med for\u00e6ldede rodcertifikater. N\u00e6ste p\u00e5 listen er Let\u2019s Encrypt og smarte tv'er | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0445 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041d\u0430 \u043e\u0447\u0435\u0440\u0435\u0434\u0438 Let\u2019s Encrypt \u0438 \u0443\u043c\u043d\u044b\u0435 \u0442\u0435\u043b\u0435\u0432\u0438\u0437\u043e\u0440\u044b | ProHoster","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-10T11:43:11+00:00","article:modified_time":"2020-06-10T11:43:11+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"84766","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:51:43","updated":"2022-09-29 06:39:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/84766","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=84766"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/84766\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/84767"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=84766"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=84766"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=84766"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}