{"id":83443,"date":"2020-05-31T13:42:09","date_gmt":"2020-05-31T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls"},"modified":"2020-05-31T13:42:09","modified_gmt":"2020-05-31T11:42:09","slug":"ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","title":{"rendered":"El vencimiento del certificado ra\u00edz AddTrust caus\u00f3 fallos en sistemas con OpenSSL y GnuTLS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

El 30 de mayo expir\u00f3 el certificado ra\u00edz de 20 a\u00f1os. AddTrust<\/a><\/noindex>, quien se utilizaba<\/a><\/noindex> para crear una firma cruzada en los certificados de uno de los mayores centros de certificaci\u00f3n, Sectigo (Comodo). La firma cruzada permit\u00eda garantizar la compatibilidad con dispositivos obsoletos que no hab\u00edan incorporado el nuevo certificado ra\u00edz USERTrust en su almac\u00e9n de certificados ra\u00edz. <\/p>\n

\"El<\/a><\/noindex><\/center><\/p>\n

Te\u00f3ricamente, la expiraci\u00f3n del certificado ra\u00edz AddTrust solo deber\u00eda haber llevado a problemas de compatibilidad con sistemas obsoletos (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, etc.), ya que el segundo certificado ra\u00edz utilizado en la firma cruzada sigue siendo vigente y los navegadores modernos lo consideran al verificar la cadena de confianza. En la pr\u00e1ctica se encontraron<\/a><\/noindex> problemas con la verificaci\u00f3n de la firma cruzada en clientes TLS que no utilizan navegadores, incluidos aquellos basados en OpenSSL 1.0.x y GnuTLS. La conexi\u00f3n segura dej\u00f3 de establecerse mostrando un error de caducidad del certificado, si en el servidor se utiliza un certificado Sectigo relacionado mediante la cadena de confianza con el certificado ra\u00edz AddTrust.<\/p>\n

Si los usuarios de navegadores modernos no notaron la expiraci\u00f3n del certificado ra\u00edz AddTrust al procesar los certificados firmados cruzadamente de Sectigo, surgieron problemas en diversas aplicaciones de terceros y manejadores de servidor, lo que condujo a violaci\u00f3n<\/a><\/noindex> interrupciones<\/a><\/noindex> de muchas infraestructuras que utilizan canales de comunicaci\u00f3n cifrados para interactuar entre componentes. <\/p>\n

Por ejemplo, surgieron problemas<\/a><\/noindex> con acceso a algunos repositorios de paquetes en Debian y Ubuntu (apt comenz\u00f3 a mostrar un error de verificaci\u00f3n de certificado), las solicitudes desde scripts usando las utilidades \u00abcurl\u00bb y \u00abwget\u00bb est\u00e1n fallando, y se observan errores al usar Git. se interrumpi\u00f3<\/a><\/noindex> la operaci\u00f3n de la plataforma de transmisi\u00f3n Roku, dejaron de invocarse los manejadores Stripe<\/a><\/noindex> y DataDog<\/a><\/noindex>, comenzaron a ocurrir fallos<\/a><\/noindex> en aplicaciones de Heroku, se dejaron de<\/a><\/noindex> conectar clientes de OpenLDAP, se detectaron problemas con el env\u00edo de correos a servidores SMTPS y SMTP con STARTTLS. Adem\u00e1s, se observan problemas en diversos scripts en Ruby, PHP y Python que utilizan m\u00f3dulos con clientes http. Desde los navegadores, el problema afecta<\/a><\/noindex> Epiphany, en el que dejaron de cargarse las listas de bloqueo de anuncios.<\/p>\n

Los programas en lenguaje Go no est\u00e1n afectados por el problema, ya que en Go se ofrece en C++);<\/a><\/noindex> TLS.<\/p>\n

Se supon\u00eda<\/a><\/noindex>, que el problema afecta a versiones antiguas de distribuciones (incluyendo Debian 9, Ubuntu 16.04, RHEL 6\/7<\/a><\/noindex>) en las que se utilizan ramas problem\u00e1ticas de OpenSSL, pero el problema tambi\u00e9n se present\u00f3<\/a><\/noindex> al trabajar con el gestor de paquetes APT en versiones actuales de Debian 10 y Ubuntu 18.04\/20.04, ya que APT utiliza la biblioteca GnuTLS. La esencia del problema radica en que muchas bibliotecas TLS\/SSL interpretan el certificado como una cadena lineal, mientras que de acuerdo con RFC 4158, un certificado puede representar un gr\u00e1fico c\u00edclico dirigido distribuido con m\u00faltiples puntos de anclaje de confianza que deben ser considerados. Esta deficiencia en OpenSSL y GnuTLS tenga<\/a><\/noindex> se sabe<\/a><\/noindex> ha existido durante muchos a\u00f1os<\/a><\/noindex>. En OpenSSL, el problema fue corregido en la rama 1.1.1, mientras que en GnuTLS<\/a><\/noindex> sigue siendo sin corregir<\/a><\/noindex>.<\/p>\n

Como soluci\u00f3n alternativa al fallo, se sugiere eliminar del almacenamiento del sistema el certificado \u00abAddTrust External CA Root\u00bb (por ejemplo, eliminar de \/etc\/ca-certificates.conf y \/etc\/ssl\/certs, y luego ejecutar \u00abupdate-ca-certificates -f -v\u00bb), tras lo cual OpenSSL comenzar\u00e1 a manejar adecuadamente los certificados firmados cruzadamente que lo involucren. Al usar el gestor de paquetes APT, se puede desactivar la verificaci\u00f3n de certificados para solicitudes espec\u00edficas a su propio riesgo (por ejemplo, \u00abapt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false\u00bb). <\/p>\n

Para bloquear el problema en Fedora<\/a><\/noindex> y RHEL<\/a><\/noindex> se sugiere agregar el certificado AddTrust a la lista negra:<\/p>\n

trust dump \u2014filter \u00abpkcs11:id=;type=cert\u00bb \\
\n > \/etc\/pki\/ca-trust\/source\/blacklist\/addtrust-external-root.p11-kit
\n update-ca-trust extract<\/p>\n

Pero este m\u00e9todo no funciona<\/a><\/noindex> para GnuTLS (por ejemplo, sigue arrojando un error de verificaci\u00f3n de certificado al ejecutar la herramienta wget).<\/p>\n

Del lado del servidor, se puede modificar<\/a><\/noindex> el orden<\/a><\/noindex> enumeraciones de certificados en la cadena de confianza enviada por el servidor al cliente (si el certificado relacionado con \u00abAddTrust External CA Root\u00bb se elimina de la lista, la verificaci\u00f3n del cliente se realizar\u00e1 con \u00e9xito). Para verificar y generar una nueva cadena de confianza se puede usar el servicio whatsmychaincert.com<\/a><\/noindex>. La empresa Sectigo tambi\u00e9n ha proporcionado<\/a><\/noindex> certificado intermedio alternativo firmado cruzadamente \u00abAAA Certificate Services<\/a><\/noindex>\u00bb, que ser\u00e1 v\u00e1lido hasta 2028 y permitir\u00e1 mantener la compatibilidad con versiones antiguas del sistema operativo.<\/p>\n

Adici\u00f3n: El problema tambi\u00e9n se manifiesta<\/a><\/noindex> en LibreSSL.<\/p>\n

<\/a><\/noindex><\/p>\n

Fuente: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438 (cross-signed) \u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u0445 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0438\u0445 \u0446\u0435\u043d\u0442\u0440\u043e\u0432 Sectigo (Comodo). \u041f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u043c\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0432 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0435 \u0431\u044b\u043b \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 USERTRust. \u0422\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0432\u0435\u0441\u0442\u0438 \u043b\u0438\u0448\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":83444,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-83443","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47El desuso del certificado ra\u00edz AddTrust condujo a fallos en sistemas con OpenSSL y GnuTLS | ProHoster","description":"El 30 de mayo, expir\u00f3 el certificado ra\u00edz AddTrust, que tiene una validez de 20 a\u00f1os,","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u043f\u0440\u0438\u0432\u0435\u043b\u043e \u043a \u0441\u0431\u043e\u044f\u043c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u0441 OpenSSL \u0438 GnuTLS | ProHoster","og:description":"30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-31T11:42:09+00:00","article:modified_time":"2020-05-31T11:42:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"83443","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:17:29","updated":"2022-09-28 18:33:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/83443","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=83443"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/83443\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/83444"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=83443"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=83443"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=83443"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}