{"id":83443,"date":"2020-05-31T13:42:09","date_gmt":"2020-05-31T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls"},"modified":"2020-05-31T13:42:09","modified_gmt":"2020-05-31T11:42:09","slug":"ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","title":{"rendered":"Die Ablauffrist des Wurzelzertifikats AddTrust hat zu Problemen in Systemen mit OpenSSL und GnuTLS gef\u00fchrt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Am 30. Mai lief die 20-j\u00e4hrige G\u00fcltigkeit des Wurzelzertifikats ab. AddTrust<\/a><\/noindex>, der wurde verwendet<\/a><\/noindex> f\u00fcr die Erstellung einer Cross-Signatur in den Zertifikaten eines der gr\u00f6\u00dften Zertifizierungsstellen, Sectigo (Comodo). Die Cross-Signatur erm\u00f6glichte die Kompatibilit\u00e4t mit veralteten Ger\u00e4ten, in deren Wurzelzertifikatsspeicher das neue Wurzelzertifikat USERTrust nicht hinzugef\u00fcgt wurde. <\/p>\n

\"Die<\/a><\/noindex><\/center><\/p>\n

Theoretisch h\u00e4tte das Ablaufen des Wurzelzertifikats AddTrust nur zu Kompatibilit\u00e4tsproblemen mit veralteten Systemen (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9 usw.) f\u00fchren sollen, da das zweite in der Cross-Signatur verwendete Wurzelzertifikat weiterhin g\u00fcltig ist und moderne Browser es bei der \u00dcberpr\u00fcfung der Vertrauenskette ber\u00fccksichtigen. In der Praxis wurden<\/a><\/noindex> Probleme bei der \u00dcberpr\u00fcfung der Cross-Signatur in TLS-Clients festgestellt, die keine Browser verwenden, darunter solche, die auf OpenSSL 1.0.x und GnuTLS basieren. Eine sichere Verbindung konnte nicht mehr hergestellt werden, und es trat ein Fehler bez\u00fcglich des Ablaufs des Zertifikats auf, wenn auf dem Server ein Zertifikat von Sectigo verwendet wurde, das \u00fcber die Vertrauenskette mit dem Wurzelzertifikat AddTrust verbunden war.<\/p>\n

Obwohl Benutzer moderner Browser den Ablauf des Wurzelzertifikats AddTrust bei der Verarbeitung von Cross-signierten Zertifikaten von Sectigo m\u00f6glicherweise nicht bemerkt haben, traten in verschiedenen Drittanwendungen und Serververarbeitern Probleme auf, die zu zu einer St\u00f6rung<\/a><\/noindex> Funktionsst\u00f6rungen<\/a><\/noindex> vieler Infrastrukturen f\u00fchrten, die verschl\u00fcsselte Kommunikationskan\u00e4le zur Interaktion zwischen Komponenten verwenden. <\/p>\n

Zum Beispiel gab es Probleme<\/a><\/noindex> mit dem Zugang zu einigen Paket-Repositories in Debian und Ubuntu (apt gibt einen Zertifikatpr\u00fcfungsfehler aus), werden Skriptaufrufe mit den Tools \u00abcurl\u00bb und \u00abwget\u00bb fehlerhaft abgeschlossen, Fehler treten bei der Verwendung von Git auf. Die<\/a><\/noindex> Funktionalit\u00e4t der Streaming-Plattform Roku war gest\u00f6rt, und die Handler von Stripe<\/a><\/noindex> und DataDog<\/a><\/noindex>sind ausgefallen, es traten Abst\u00fcrze<\/a><\/noindex> in Heroku-Anwendungen auf, OpenLDAP-Clients konnten sich nicht mehr verbinden, es gab Probleme beim Versenden von E-Mails an SMTPS- und SMTP-Server mit STARTTLS. Zudem traten Probleme in verschiedenen Ruby-, PHP- und Python-Skripten auf, die ein Modul mit einem HTTP-Client verwenden. Bei den Browsern<\/a><\/noindex> war Epiphany betroffen, in dem die Blocklisten f\u00fcr Werbung nicht mehr geladen werden konnten. betroffen<\/a><\/noindex> Epiphanie, bei der die Werbeblockierungslisten nicht mehr geladen werden.<\/p>\n

Programme in der Programmiersprache Go sind nicht von diesem Problem betroffen, da Go eine eigene Implementierung<\/a><\/noindex> von TLS anbietet.<\/p>\n

Es wurde angenommen,<\/a><\/noindex>, dass das Problem \u00e4ltere Versionen von Distributionen betrifft (einschlie\u00dflich Debian 9, Ubuntu 16.04, RHEL 6\/7<\/a><\/noindex>), in denen problematische OpenSSL-Versionen verwendet werden, aber das Problem trat<\/a><\/noindex> auch beim Arbeiten mit dem Paketmanager APT in den aktuellen Versionen von Debian 10 und Ubuntu 18.04\/20.04 auf, da APT die GnuTLS-Bibliothek verwendet. Das Kernproblem besteht darin, dass viele TLS\/SSL-Bibliotheken das Zertifikat als lineare Kette interpretieren, w\u00e4hrend gem\u00e4\u00df RFC 4158 das Zertifikat einen gerichteten, verteilten, zyklischen Graphen mit mehreren Vertrauensanker darstellen kann, die zu ber\u00fccksichtigen sind. \u00dcber diese Unzul\u00e4nglichkeit in OpenSSL und GnuTLS damit<\/a><\/noindex> dass Google sich darauf vorbereitet, eine eigene L\u00f6sung f\u00fcr den Austausch von Dateien mit dem Namen Nearby Sharing herauszubringen, die von Smartphones mit Android unterst\u00fctzt wird.<\/a><\/noindex> wird seit vielen Jahren<\/a><\/noindex>berichtet. In OpenSSL wurde das Problem in der Version 1.1.1 behoben, w\u00e4hrend es in GnuTLS<\/a><\/noindex> unbehandelt bleibt. Als Umgehungsvorschlag zur Behebung des Fehlers wird empfohlen, das Zertifikat \u201eAddTrust External CA Root\u201c aus dem systemweiten Speicher zu entfernen (zum Beispiel aus \/etc\/ca-certificates.conf und \/etc\/ssl\/certs, und dann \u201eupdate-ca-certificates -f -v\u201c auszuf\u00fchren), nach dem OpenSSL beginnt, gekreuzt signierte Zertifikate korrekt zu verarbeiten. Bei Verwendung des APT-Paketmanagers kann auf eigene Gefahr die \u00dcberpr\u00fcfung von Zertifikaten f\u00fcr bestimmte Anfragen deaktiviert werden (zum Beispiel \u201eapt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false\u201c).<\/a><\/noindex>.<\/p>\n

Als vor\u00fcbergehende L\u00f6sung f\u00fcr diesen Fehler wird empfohlen, das Zertifikat \u00abAddTrust External CA Root\u00bb aus dem System-Repository zu entfernen (z.B. entfernen aus \/etc\/ca-certificates.conf und \/etc\/ssl\/certs, anschlie\u00dfend \u00abupdate-ca-certificates -f -v\u00bb ausf\u00fchren), wodurch OpenSSL begins normal mit den daran beteiligten cross-signed Zertifikaten umzugehen. Bei Verwendung des Paketmanagers APT kann auf eigenes Risiko die Zertifikatspr\u00fcfung f\u00fcr bestimmte Anfragen deaktiviert werden (z.B. \u00abapt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false\u00bb). <\/p>\n

trust dump \u2014filter \u201epkcs11:id=$CB;type=cert\u201c \\ Fedora<\/a><\/noindex> und RHEL<\/a><\/noindex> > \/etc\/pki\/ca-trust\/source\/blacklist\/addtrust-external-root.p11-kit<\/p>\n

trust dump \u2014filter \u00abpkcs11:id=;type=cert\u00bb \\
\n Dieser Ansatz
\n f\u00fchrt jedoch bei GnuTLS weiterhin zu Problemen (zum Beispiel wird beim Start der wget-Anwendung weiterhin ein Zertifikat-\u00dcberpr\u00fcfungsfehler angezeigt).<\/p>\n

Auf der Serverseite kann man funktioniert nicht<\/a><\/noindex> die Reihenfolge<\/p>\n

der auf der Vertrauenskette gesendeten Zertifikate an den Client \u00e4ndern (wenn das mit \u201eAddTrust External CA Root\u201c verbundene Zertifikat aus der Liste entfernt wird, wird die \u00dcberpr\u00fcfung durch den Client erfolgreich sein). Um die neue Vertrauenskette zu pr\u00fcfen und zu erstellen, kann der Dienst whatsmychaincert.com<\/a><\/noindex> verwendet werden. Das Unternehmen Sectigo hat au\u00dferdem<\/a><\/noindex> Auflistung der von der Server an den Client gesendeten Zertifikate in der Vertrauenskette (wenn das mit \u00abAddTrust External CA Root\u00bb verbundene Zertifikat aus der Liste entfernt wird, verl\u00e4uft die Pr\u00fcfung durch den Client erfolgreich). Zur Pr\u00fcfung und Generierung einer neuen Vertrauenskette kann der Dienst verwendet werden. alternatives, gekreuzt signiertes Zwischenzertifikat \u201e<\/a><\/noindex>AAA Certificate Services \u201c anbietet, das bis 2028 g\u00fcltig ist und die Kompatibilit\u00e4t mit \u00e4lteren Versionen des Betriebssystems gew\u00e4hrleistet.<\/a><\/noindex> alternatives cross-signed Zwischenzertifikat \u00abin LibreSSL auf.<\/a><\/noindex>\u00bb, das bis 2028 g\u00fcltig sein wird und die Kompatibilit\u00e4t mit \u00e4lteren Betriebssystemversionen sicherstellt.<\/p>\n

Erg\u00e4nzung: Das Problem ist ebenfalls zeigt sich<\/a><\/noindex> in LibreSSL.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438 (cross-signed) \u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u0445 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0438\u0445 \u0446\u0435\u043d\u0442\u0440\u043e\u0432 Sectigo (Comodo). \u041f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u043c\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0432 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0435 \u0431\u044b\u043b \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 USERTRust. \u0422\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0432\u0435\u0441\u0442\u0438 \u043b\u0438\u0448\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":83444,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-83443","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Die Ablauffrist des Root-Zertifikats AddTrust f\u00fchrte zu Ausf\u00e4llen in Systemen mit OpenSSL und GnuTLS | ProHoster","description":"Am 30. Mai lief die 20-j\u00e4hrige G\u00fcltigkeitsdauer des Root-Zertifikats AddTrust ab, das","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u043f\u0440\u0438\u0432\u0435\u043b\u043e \u043a \u0441\u0431\u043e\u044f\u043c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u0441 OpenSSL \u0438 GnuTLS | ProHoster","og:description":"30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-31T11:42:09+00:00","article:modified_time":"2020-05-31T11:42:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"83443","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:17:29","updated":"2022-09-28 18:33:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/83443","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=83443"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/83443\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/83444"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=83443"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=83443"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=83443"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}