Probleemid OpenBSD, DragonFly BSD ja Electroniga seoses IdenTrusti juuresertifikaadi aegumisega

IdenTrusti (DST Root CA X3) juursertifikaadi kehtetuks tunnistamine, mida kasutati Let’s Encrypti juursertifikaadi rist-allkirjastamiseks, põhjustas probleeme Let’s Encrypti sertifikaatide kontrollimisel projektides, kus kasutatakse vanu OpenSSL ja GnuTLS versioone. Probleemid puudutasid ka LibreSSL teeki, mille arendajad ei arvestanud varasemaid kogemusi, mis olid seotud tõrgetega, mis tekkisid pärast Sectigo (Comodo) juursertifikaadi AddTrust kehtetuks tunnistamist.

Käesolevaga meenutame, et OpenSSL versioonides kuni haruni 1.0.2 ning GnuTLS versioonis kuni 3.6.14 esines viga, mis ei võimaldanud õiget töötlemist rist-allkirjastatud sertifikaatide korral, kui üks seotud juursertifikaatidest aegus, isegi kui muud kehtivad usaldusketid säilisid (Let’s Encrypti puhul ei luba IdenTrusti juursertifikaadi aegumine kontrollida, isegi kui süsteemis on olemas Let’s Encrypt oma juursertifikaat, mis kehtib kuni 2030. aastani). Probleemi tuum on selles, et vanad versioonid OpenSSL ja GnuTLS tõlgendasid sertifikaati kui lineaarset ketti, samas kui RFC 4158 kohaselt võib sertifikaat esindada suunalist jaotatud tsüklilist graafikut, kus tuleb arvesse võtta mitmeid usalduspunkti.

Tõrke kõrvaldamise alternatiivina soovitatakse eemaldada süsteemi sertifikaadihaldurist ( /etc/ca-certificates.conf ja /etc/ssl/certs) sertifikaat «DST Root CA X3», mille järel käivitada käsk «update-ca-certificates -f -v». CentOS-is ja RHEL-is saab «DST Root CA X3» sertifikaadi musta nimekirja lisada: trust dump —filter «pkcs11:id=» | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract

Mõned näidetest probleemidest, mis tekkisid pärast IdenTrusti juursertifikaadi kehtetuks tunnistamist:

• OpenBSD-s lõpetas syspatchi utiliit, mida kasutatakse süsteemi binaarsete värskenduste paigaldamiseks, töö. OpenBSD projekt vabastas täna erakorralised plaastrid harudele 6.8 ja 6.9, mis lahendavad LibreSSL-is rist-allkirjastatud sertifikaatide kontrollimise probleemid, mille juursertifikaadid on aegunud. Probleemi ajutiseks lahenduseks soovitatakse /etc/installurl-is vahetada HTTPS HTTP-ks (see ei ohusta turvalisust, kuna värskendusi kontrollitakse digitaalse allkirjaga) või valida alternatiivne peegeldus (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). Samuti saab eemaldada aegunud juursertifikaadi DST Root CA X3 failist /etc/ssl/cert.pem.
• DragonFly BSD-s esinevad sarnased probleemid DPortsiga töötamisel. Paki halduri pkg käivitamisel ilmneb sertifikaadi kontrollimise viga. Täna lisati parandused harudele master, DragonFly_RELEASE_6_0 ja DragonFly_RELEASE_5_8. Ajutise lahendusena saab eemaldada sertifikaadi DST Root CA X3.
• Let’s Encrypti sertifikaatide kontrollimine rakendustes, mis põhinevad Electroni platvormil, on katkenud. Probleem lahendati värskendustes 12.2.1, 13.5.1, 14.1.0, 15.1.0.
• Mõnedes distributsioonides esinevad paketihalduri APT kasutamisel probleemid pakirepositorite juurde pääsemisega, mis on seotud vanade GnuTLS teekide versioonidega. Probleemiga seisis silmitsi Debian 9, kus kasutati parandamata GnuTLS paketti, mis põhjustas probleemid deb.debian.org-i juurdepääsuga kasutajatel, kes ei olnud ajakohastusi õigel ajal installinud (parandust gnutls28-3.5.8-5+deb9u6 pakuti välja 17. septembril). Probleemi ajutiseks lahendamiseks soovitatakse eemaldada DST_Root_CA_X3.crt failist /etc/ca-certificates.conf.
• OPNsense-i tulemüüri distributsioonis on acme-clienti toimimine katkenud, probleemist teavitati eelnevalt, kuid arendajad ei jõudnud õigeaegselt plaastrit välja lasta.
• Probleem puudutas OpenSSL 1.0.2k paketti RHEL/CentOS 7-s, kuid nädal tagasi loodi RHEL 7 ja CentOS 7 jaoks paketi ca-certificates-2021.2.50-72.el7_9.noarch uuendus, milles eemaldati IdenTrusti sertifikaat, st probleemide ilmingut suudeti ette takistada. Sarnane uuendus avaldati nädal tagasi Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 ja Ubuntu 18.04 jaoks. Kuna uuendused ilmusid ette, puudutas Let’s Encrypti sertifikaatide kontrollimise probleem ainult vanade RHEL/CentOS ja Ubuntu harude kasutajaid, kes ei paigaldanud regulaarselt uuendusi.
• Sertifikaatide kontrollimise protsess on ebaõnnestunud gRPC-s.
• Cloudflare Pages platvormi kokkuleppimise tõrge.
• Probleemid Amazon Web Services (AWS) teenustes.
• Kasutajatel DigitalOceanis on probleeme andmebaasi ühendusega.
• Netlify pilveteenuse töö ebaõnnestumine.
• Probleemid Xero teenuste juurde pääsemisega.
• Probleem TLS-ühenduse loomisel Web API teenusele MailGun.
• macOS ja iOS (11, 13, 14) versioonides esinevad vead, mis teoreetiliselt ei peaks probleemi mõjutama.
• Catchpointi teenustes esinenud tõrge.
• Tõrge sertifikaatide kontrollimisel API PostMan'i juures.
• Guardian Firewall'i töö tõrge.
• monday.com tugilehe töö katkemine.
• Cerb platvormi tõrge.
• Uptime'i kontrollimise tõrge Google Cloud Monitoring'is.
• Sertifikaatide kontrolliga seotud probleem Cisco Umbrella Secure Web Gateway'is.
• Probleemid Bluecoat ja Palo Alto proksiühendusega.
• OVHcloud'is esines probleeme OpenStack API'le ühendusega.
• Probleemid raportite genereerimisega Shopify's.
• Probleemid API Heroku'ga suhtlemisel.
• Ledger Live Manager'i töö tõrge.
• Sertifikaadi kontrollimise tõrge Facebooki rakenduste arendajate tööriistades.
• Probleemid Sophos SG UTM-is.
• Sertifikaatide kontrollimise probleemid cPanel'is.

Allikas: opennet.ru