{"id":83443,"date":"2020-05-31T13:42:09","date_gmt":"2020-05-31T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls"},"modified":"2020-05-31T13:42:09","modified_gmt":"2020-05-31T11:42:09","slug":"ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","title":{"rendered":"Die Veraltung des Root-Zertifikats AddTrust f\u00fchrte zu St\u00f6rungen in Systemen mit OpenSSL und GnuTLS.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Am 30. Mai lief die 20-j\u00e4hrige G\u00fcltigkeit des Wurzelzertifikats ab AddTrust<\/a><\/noindex>, der wurde verwendet<\/a><\/noindex> zur Erstellung einer cross-signierten Signatur in den Zertifikaten eines der gr\u00f6\u00dften Zertifizierungsstellen, Sectigo (Comodo). Die cross-signierte Signatur stellte die Kompatibilit\u00e4t mit \u00e4lteren Ger\u00e4ten sicher, in deren Speicher f\u00fcr Wurzelzertifikate das neue Wurzelzertifikat USERTrust nicht hinzugef\u00fcgt wurde. <\/p>\n

\"Die<\/a><\/noindex><\/center><\/p>\n

Theoretisch h\u00e4tte das Ablaufen des Wurzelzertifikats AddTrust lediglich zu Kompatibilit\u00e4tsproblemen mit \u00e4lteren Systemen (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9 usw.) f\u00fchren sollen, da das zweite Wurzelzertifikat, das in der cross-signierten Signatur verwendet wird, weiterhin g\u00fcltig ist und moderne Browser es bei der \u00dcberpr\u00fcfung der Vertrauenskette ber\u00fccksichtigen. In der Praxis wurden<\/a><\/noindex> Probleme bei der \u00dcberpr\u00fcfung der cross-signierten Signatur in TLS-Clients festgestellt, die keine Browser verwenden, einschlie\u00dflich solcher auf Basis von OpenSSL 1.0.x und GnuTLS. Eine sichere Verbindung konnte nicht mehr hergestellt werden, da eine Fehlermeldung \u00fcber das Ablaufen des Zertifikats angezeigt wurde, wenn auf dem Server ein Zertifikat von Sectigo verwendet wird, das \u00fcber die Vertrauenskette mit dem Wurzelzertifikat AddTrust verbunden ist.<\/p>\n

Wenn Benutzer moderner Browser die Ablauffrist des Root-Zertifikats AddTrust bei der Verarbeitung von Cross-signed Zertifikaten von Sectigo nicht bemerkt haben, traten in verschiedenen Drittanwendungen und Serverprozessoren Probleme auf, was zu St\u00f6rungen<\/a><\/noindex> in der Funktionalit\u00e4t<\/a><\/noindex> viele Infrastruktur, die verschl\u00fcsselte Kommunikationskan\u00e4le f\u00fcr die Interaktion zwischen Komponenten verwendet. <\/p>\n

Zum Beispiel gab es Probleme<\/a><\/noindex> mit Zugriff auf einige Paket-Repositorys in Debian und Ubuntu (apt gibt einen Zertifikatspr\u00fcfungsfehler aus), werden Skriptaufrufe \u00fcber die Tools \u201ecurl\u201c und \u201ewget\u201c fehlerhaft abgeschlossen, und es treten Fehler bei der Verwendung von Git auf. es gab St\u00f6rungen<\/a><\/noindex> in der Funktionsweise der Streaming-Plattform Roku, die Handler h\u00f6rten auf zu reagieren, Stripe<\/a><\/noindex> und DataDog<\/a><\/noindex>es begannen Abst\u00fcrze<\/a><\/noindex> in Anwendungen von Heroku, es konnten keine<\/a><\/noindex> OpenLDAP-Clients mehr verbunden werden, Probleme beim Versand von E-Mails an SMTPS- und SMTP-Server mit STARTTLS wurden festgestellt. Zudem gibt es Probleme in verschiedenen Ruby-, PHP- und Python-Skripten, die das http-Client-Modul verwenden. In den Browsern gibt es Probleme mit Bluetooth-Stack und h\u00e4ngt mit der fehlerhaften Verarbeitung der Berechtigung BLUETOOTH_PRIVILEGED bei setPhonebookAccessPermission zusammen. Bei den als gef\u00e4hrlich eingestuften Schwachstellen wurden 7 Probleme in Frameworks und Anwendungen, 4 in Systemkomponenten, 2 im Kernel und 10 in offenen und propriet\u00e4ren Komponenten f\u00fcr Qualcomm-Chips behoben.<\/a><\/noindex> Epiphany, in dem die Blocklisten f\u00fcr Werbung nicht mehr geladen werden.<\/p>\n

Programme in Go sind nicht betroffen, da in Go eigene Implementierung<\/a><\/noindex> TLS.<\/p>\n

Es wurde angenommen<\/a><\/noindex>, dass das Problem \u00e4ltere Versionen von Distributionen betrifft (einschlie\u00dflich Debian 9, Ubuntu 16.04, RHEL 6\/7<\/a><\/noindex>) in denen problematische OpenSSL-Zweige verwendet werden, das Problem trat jedoch<\/a><\/noindex> auch beim Arbeiten mit dem Paketmanager APT in den aktuellen Versionen Debian 10 und Ubuntu 18.04\/20.04 auf, da APT die GnuTLS-Bibliothek verwendet. Der Kern des Problems liegt darin, dass viele TLS\/SSL-Bibliotheken das Zertifikat als lineare Kette interpretieren, w\u00e4hrend gem\u00e4\u00df RFC 4158 das Zertifikat einen gerichteten, verteilten Zyklographen mit mehreren Vertrauensanker darstellen kann, die ber\u00fccksichtigt werden m\u00fcssen. Diese Fehlentwicklung in OpenSSL und GnuTLS es<\/a><\/noindex> ist bekannt<\/a><\/noindex> besteht schon seit vielen Jahren<\/a><\/noindex>. In OpenSSL wurde das Problem in der Version 1.1.1 behoben, w\u00e4hrend in GnuTLS<\/a><\/noindex> nicht verf\u00fcgbar es noch ungepatcht ist.<\/a><\/noindex>.<\/p>\n

Als workaround zur Behebung des Fehlers wird vorgeschlagen, das Zertifikat \u201eAddTrust External CA Root\u201c aus dem System-Repository zu entfernen (zum Beispiel aus \/etc\/ca-certificates.conf und \/etc\/ssl\/certs entfernen und dann \u201eupdate-ca-certificates -f -v\u201c ausf\u00fchren), wonach OpenSSL die an der Querverifizierung beteiligten Zertifikate wieder ordnungsgem\u00e4\u00df verarbeitet. Bei Verwendung des Paketmanagers APT kann die Zertifikatspr\u00fcfung f\u00fcr bestimmte Anfragen auf eigenes Risiko deaktiviert werden (zum Beispiel \u201eapt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false\u201c). <\/p>\n

Um das Problem zu beheben, , aber bisher ist er noch nicht in<\/a><\/noindex> und RHEL<\/a><\/noindex> wird empfohlen, das Zertifikat AddTrust auf die schwarze Liste zu setzen:<\/p>\n

trust dump \u2014filter \u201epkcs11:id=;type=cert\u201c \\
\n > \/etc\/pki\/ca-trust\/source\/blacklist\/addtrust-external-root.p11-kit
\n update-ca-trust extract<\/p>\n

Dieser Ansatz nicht funktioniert<\/a><\/noindex> funktioniert jedoch nicht f\u00fcr GnuTLS (zum Beispiel wird weiterhin ein Fehler bei der Zertifikats\u00fcberpr\u00fcfung angezeigt, wenn das Tool wget gestartet wird).<\/p>\n

Auf der Serverseite kann man die<\/a><\/noindex> Reihenfolge<\/a><\/noindex> Auflistung der vom Server an den Client gesendeten Zertifikate in der Vertrauenskette (wenn das mit \u201eAddTrust External CA Root\u201c verbundene Zertifikat aus der Liste entfernt wird, verl\u00e4uft die Pr\u00fcfung durch den Client erfolgreich). Um eine neue Vertrauenskette zu \u00fcberpr\u00fcfen und zu generieren, kann der Dienst genutzt werden. whatsmychaincert.com<\/a><\/noindex>. Das Unternehmen Sectigo auch bereitgestellt<\/a><\/noindex> alternatives Querverifiziertes Zwischenzertifikat \u201eAAA Certificate Services<\/a><\/noindex>\u201e, das bis 2028 g\u00fcltig ist und die Kompatibilit\u00e4t mit \u00e4lteren Betriebssystemversionen gew\u00e4hrleistet.<\/p>\n

Zusatz: Das Problem besteht auch zeigt sich<\/a><\/noindex> in LibreSSL.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438 (cross-signed) \u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u0445 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0438\u0445 \u0446\u0435\u043d\u0442\u0440\u043e\u0432 Sectigo (Comodo). \u041f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u043c\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0432 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0435 \u0431\u044b\u043b \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 USERTRust. \u0422\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0432\u0435\u0441\u0442\u0438 \u043b\u0438\u0448\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":83444,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-83443","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Das Ablaufen des Wurzelzertifikats AddTrust f\u00fchrte zu Ausf\u00e4llen in Systemen mit OpenSSL und GnuTLS | ProHoster","description":"Am 30. Mai lief die 20-j\u00e4hrige G\u00fcltigkeitsdauer des Wurzelzertifikats AddTrust ab, das","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u043f\u0440\u0438\u0432\u0435\u043b\u043e \u043a \u0441\u0431\u043e\u044f\u043c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u0441 OpenSSL \u0438 GnuTLS | ProHoster","og:description":"30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-31T11:42:09+00:00","article:modified_time":"2020-05-31T11:42:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"83443","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:17:29","updated":"2022-09-28 18:33:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/83443","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=83443"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/83443\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/83444"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=83443"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=83443"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=83443"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}