{"id":84766,"date":"2020-06-10T13:43:11","date_gmt":"2020-06-10T11:43:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory"},"modified":"2020-06-10T13:43:11","modified_gmt":"2020-06-10T11:43:11","slug":"problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","title":{"rendered":"Vana juure sertifikaatide probleem. J\u00e4rgmine on Let's Encrypt ja nutitelerid.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Aegunud
\n
\nKuna brauser suudab veebisaiti autentida, peab see esitama kehtiva sertifikaatide ahela. T\u00fc\u00fcpiline ahel on n\u00e4idatud \u00fclal, kus v\u00f5ib olla rohkem kui \u00fcks vahe-sertifikaat. Kehtiva ahela minimaalne sertifikaatide arv on kolm.<\/p>\n

Juurtunnistus on sertifitseerimiskeskuse s\u00fcda. See on s\u00f5na otseses m\u00f5ttes teie ops\u00fcsteemi v\u00f5i brauserisse sisseehitatud, see on f\u00fc\u00fcsiliselt olemas teie seadmes. Seda ei saa serveri poolt vahetada. Vajalik on kohustuslik ops\u00fcsteemi v\u00f5i seadme sisseehitatud tarkvara uuendus.<\/p>\n

Turvaspetsialist Scott Helme kirjutab<\/a><\/noindex>, et ettekandja Let’s Encrypt keskse sertifitseerimise probleemide t\u00f5us. T\u00e4na on see populaarseim CA internetis ja selle juursertifikaat aegub peagi. Let’s Encrypti juure vahetamine on planeeritud 8. juuliks 2020.<\/a><\/noindex>.
\n<\/a><\/noindex>
\nL\u00f5pp- ja vahe-sertifikaadid sertifitseerimiskeskusest (CA) edastatakse kliendile serverist, samas kui juurtunnistus on kliendi seadmes. juba olemas<\/i>, seega saab selle sertifikaatide kogumise abil luua ahela ja autentida veebisaiti. <\/p>\n

Probleem seisneb selles, et iga sertifikaadil on aegumist\u00e4htaeg, p\u00e4rast mida see vajab vahetamist. N\u00e4iteks, alates 1. septembrist 2020 plaanitakse brauseris Safari kehtestada piirang serverite TLS-sertifikaatide kehtivuse ajale kuni 398 p\u00e4eva.<\/a><\/noindex>.<\/p>\n

See t\u00e4hendab, et meil k\u00f5igil tuleb serverite sertifikaate vahetada v\u00e4hemalt iga 12 kuu tagant. See piirang kehtib ainult serveri sertifikaatide kohta, see ei<\/i> kehtib ka CA juurtunnistuste kohta.<\/p>\n

CA sertifikaate reguleerib teine reeglite kogum, seet\u00f5ttu on neil erinevad aegumist\u00e4htaegade piirangud. Vahe-sertifikaadid kehtivad sageli 5 aastat ja juurtunnistused isegi 25 aastat! <\/p>\n

Vahe-sertifikaatidega ei ole tavaliselt probleeme, kuna need edastatakse kliendile serveri kaudu, mis vahetab ise oma sertifikaati palju sagedamini, nii et selle protseduuri k\u00e4igus vahetatakse ka vahe-sertifikaat. Seda on \u00fcsna lihtne vahetada koos serveri sertifikaadiga, erinevalt CA juurtunnistusest.<\/p>\n

Nagu me juba r\u00e4\u00e4kisime, on juurerakendus CA integreeritud otse kliendi seadmesse, operatsioonis\u00fcsteemi, brauserisse v\u00f5i muusse tarkvarasse. Juur CA-d veebilehe kaudu ei saa muuta. Siin on vajalik kliendi v\u00e4rskendus, olgu see operatsioonis\u00fcsteemi v\u00f5i tarkvara v\u00e4rskendus.<\/p>\n

M\u00f5ned juurerakendused CA-d on eksisteerinud juba v\u00e4ga pikka aega, r\u00e4\u00e4gime 20-25 aastast. Varsti j\u00f5uavad m\u00f5ned vanimad juurerakendused CA-l\u00f5pp oma loomuliku elu l\u00f5pule, nende aeg on peaaegu k\u00e4es. Enamikule meist ei ole see probleem, kuna CA-d on loonud uusi juuresertifikaate, mis on juba aastaid \u00fcle maailma laiali jaotatud operatsioonis\u00fcsteemi ja brauserite v\u00e4rskenduste kaudu. Kuid kui keegi pole v\u00e4ga pikka aega oma operatsioonis\u00fcsteemi v\u00f5i brauserit v\u00e4rskendanud, on see teatud t\u00fc\u00fcpi probleem.<\/p>\n

Sarnane olukord tekkis 30. mail 2020 kell 10:48:38 GMT. Just sel hetkel l\u00f5ppes AddTrust juuresertifikaadi kehtivus<\/a><\/noindex> Comodo (Sectigo) sertifitseerimiskeskusest.<\/p>\n

Seda kasutati ristallkirjastamiseks, et tagada \u00fchilduvus vananenud seadmetega, mille sertifikaadihoidlas ei ole uut juuresertifikaati USERTrust.<\/p>\n

Kahjuks ei esinenud probleemid mitte ainult vananenud brauserites, vaid ka mitte-brauserikliendi rakendustes OpenSSL 1.0.x, LibreSSL ja GnuTLS<\/a><\/noindex>. N\u00e4iteks telerites Roku<\/a><\/noindex>, teenuses Heroku<\/a><\/noindex>, Fortineti rakendustes, Chargify, .NET Core 2.0 platvormil Linuxis ja paljudes teistes<\/a><\/noindex>.<\/p>\n

Oli eeldatud, et probleem m\u00f5jutab ainult vananenud s\u00fcsteeme (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9 jne), kuna t\u00e4nap\u00e4evased brauserid suudavad rakendada teist juuresertifikaati USERTrust. Kuid reaalsuses algasid h\u00e4ired sadades veebiteenustes, mis kasutasid tasuta OpenSSL 1.0.x ja GnuTLS teeke. Turvaline \u00fchendus l\u00f5petas loomise ja ilmnes sertifikaadi aegumise viga.<\/p>\n

J\u00e4rgmine \u2014 Let’s Encrypt<\/h1>\n

\nVeel \u00fcks hea n\u00e4ide peatselt toimuvale juure CA vahetusele \u2014 Let’s Encrypt. Veel 2019. aasta aprillis<\/a><\/noindex> kavatsesid nad liikuda Identrust ahelalt oma ISRG Root ahela juurde, kuid seda ei juhtunud<\/a><\/noindex>.<\/p>\n

\"Aegunud
\n
\n\u201eOotamatu ISRG juure leviku mure t\u00f5ttu Android-seadmetes otsustasime \u00fclemineku kuup\u00e4eva oma juurele edasi l\u00fckata 8. juulilt 2019 8. juulile 2020,\u201d \u00fctles Let’s Encrypt ametlikus teates.<\/p>\n

Kuup\u00e4eva tuli edasi l\u00fckata juurdumise probleemide t\u00f5ttu, mida nimetatakse \"juure levikuks\" (root propagation), t\u00e4psemalt juure leviku puudumise t\u00f5ttu, kui juure CA ei ole k\u00f5igi klientide seas piisavalt laialdaselt levinud. <\/p>\n

Praegu kasutab Let’s Encrypt ristipodistatud vahesertifikaati, mis ulatub IdenTrust DST Root CA X3 juure. See juursertifikaat anti v\u00e4lja septembris 2000 ja selle kehtivusaeg l\u00f5peb 30. septembril 2021. Enne seda kavatseb Let’s Encrypt \u00fcle minna oma iseseisvale ISRG Root X1 juurele.<\/p>\n

\"Aegunud
\n
\nISRG juur v\u00e4ljastati 4. juunil 2015. P\u00e4rast seda algas selle heakskiitmise protsess sertifitseerimiskeskusena, mis l\u00f5ppes 6. augustil 2018.<\/a><\/noindex>. Alates sellest p\u00e4evast on juure CA olnud k\u00f5igile klientidele kergesti k\u00e4ttesaadav operatsioonis\u00fcsteemi v\u00f5i tarkvara uuendamise kaudu. K\u00f5ik, mida oli vaja teha, oli paigaldada uuendus. <\/p>\n

Kuid see on probleem.<\/p>\n

Kui teie mobiiltelefon, televiisor v\u00f5i muu seade ei ole kahel aastal uuendatud, kuidas see saab teada uue ISRG Root X1 juuresertifikaadi olemasolust? Ja kui seda ei installita s\u00fcsteemi, siis k\u00f5ik Let’s Encrypti serverisertifikaadid tunnistatakse teie seadmete poolt kehtetuks, kui Let’s Encrypt \u00fcleminek toimub. Androidi \u00f6kos\u00fcsteemis on palju vananenud seadmeid, mis pole pikka aega uuendatud.<\/p>\n

\"Aegunud
\nAndroidi \u00f6kos\u00fcsteem<\/i><\/p>\n

Seep\u00e4rast on Let’s Encrypt l\u00fckanud tagasi \u00fclemineku oma ISRG juurele ja kasutab endiselt vahelementi, mis ulatub IdenTrusti juure. Kuid \u00fcleminek tuleb niikuinii teostada. Ja juure vahetamise kuup\u00e4ev on m\u00e4\u00e4ratud 8. juuli 2020.<\/a><\/noindex>.<\/p>\n

K\u00fcsimiseks, kas teie seadmes (televiisor, tasanduslaud v\u00f5i muu klient) on ISRG X1 juur, avage testimisveebisait https:\/\/valid-isrgrootx1.letsencrypt.org\/<\/a><\/noindex>. Kui turvalisuse hoiatust ei ilmu, on tavaliselt k\u00f5ik korras. <\/p>\n

Let’s Encrypt ei ole ainus, kes peab lahendama probleemi, et liikuda uue juure juurde. Kr\u00fcptograafiat on internetis kasutatud pisut \u00fcle 20 aasta, seega on paras aeg paljude juursertifikaatide kehtivuse l\u00f5ppemiseks.<\/p>\n

Sellise probleemiga v\u00f5ivad silmitsi seista nutitelerite omanikud, kes ei ole Smart TV tarkvara aastaid uuendanud. N\u00e4iteks uus juur GlobalSign R5 Root.<\/a><\/noindex> v\u00e4lja antud 2012. aastal, ja p\u00e4rast seda ei saa m\u00f5ned vanemad nutitelerid temaga \u00fchendust luua, sest need juured CA-d pole neil lihtsalt olemas. Eriti ei saanud need kliendid luua turvalist \u00fchendust saidiga bbc.co.uk. Probleemi lahendamiseks pidid BBC administraatorid natuke keerutama: nad ehitasid nende klientide jaoks alternatiivse ahela<\/a><\/noindex> kui kaudu t\u00e4iendavad vahesertifikaadid, kasutades vanu juuri R3 Root<\/a><\/noindex> ja R1 Root<\/a><\/noindex>, mis pole veel aegunud.<\/p>\n

www.bbc.co.uk (Leaf)\nGlobalSign ECC OV SSL CA 2018 (Intermediate)\nGlobalSign Root CA - R5 (Intermediate)\nGlobalSign Root CA - R3 (Intermediate)<\/pre>\n
\nSee on ajutine lahendus. Probleem ei kao kuhugi, kui kliendi tarkvara ei uuendata. Nutiteler on p\u00f5him\u00f5tteliselt funktsionaalselt piiratud Linuxi ops\u00fcsteemiga arvuti. Ja ilma uuendusteta aeguvad tema juuresolevad sertifikaadid v\u00e4ltimatult.<\/p>\n
See puudutab k\u00f5iki seadmeid, mitte ainult telerite. Kui teil on m\u00f5ni seade, mis on \u00fchendatud internetiga ja mida reklaamiti kui 'nutiseadet', siis probleem aegunud sertifikaatidega puudutab peaaegu kindlasti seda. Kui seade ei uuendu, siis juure CA-hoidla aegub ajaga, ja l\u00f5puks probleem ilmneb. Probleemi ilmumise kiirus s\u00f5ltub juure hoidla viimase uuendamise ajast. See v\u00f5ib olla mitu aastat enne seadme tegelikku turuletulekut.<\/p>\n
Muide, see on probleem, miks m\u00f5ned suured meediaplatvormid ei saa kasutada kaasaegseid automatiseeritud sertifitseerimiskeskusi, nagu Let’s Encrypt, kirjutab Scott Helme. Need ei sobi nutitelevisioonidele ning juurte arv on liiga v\u00e4ike, et tagada sertifikaadi tugi vananenud seadmetes. Vastasel juhul ei saa telerid lihtsalt kaasaegseid voogedastusteenuseid k\u00e4ivitada.<\/p>\n
Viimane vahejuhtum AddTrustiga n\u00e4itas, et isegi suured IT-ettev\u00f5tted pole valmis selleks, et juuresertifikaadi kehtivusaeg l\u00f5ppeb.<\/p>\n
Probleemi lahendamiseks on vaid \u00fcks v\u00f5imalus \u2014 uuendus. Nutiseadmete arendajad peavad eelnevalt tagama tarkvara ning juuresertifikaatide uuendamise mehhanismi. Teisest k\u00fcljest ei ole tootjate jaoks kasulik tagada seadmete toimimist garantii kehtivuse l\u00f5ppemisest p\u00e4rast.<\/p>\n
\n\"Aegunud
\n<\/a><\/noindex>
\n
Allikas: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0427\u0442\u043e\u0431\u044b \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u043c\u043e\u0433 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0435\u0431-\u0441\u0430\u0439\u0442, \u0442\u043e\u0442 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0435\u0431\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u0422\u0438\u043f\u0438\u0447\u043d\u0430\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u0430 \u0441\u0432\u0435\u0440\u0445\u0443, \u0432 \u043d\u0435\u0439 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430. \u041c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u0432 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0440\u0430\u0432\u043d\u043e \u0442\u0440\u0451\u043c. \u041a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u2014 \u0441\u0435\u0440\u0434\u0446\u0435 \u0446\u0435\u043d\u0442\u0440\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438. \u041e\u043d \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0432\u0441\u0442\u0440\u043e\u0435\u043d \u0432 \u0432\u0430\u0448\u0443 \u041e\u0421 \u0438\u043b\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440, \u043e\u043d \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0430 \u0432\u0430\u0448\u0435\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435. \u0415\u0433\u043e \u043d\u0435 \u043f\u043e\u043c\u0435\u043d\u044f\u0435\u0448\u044c \u0441\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":84767,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-84766","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Aegunud juursertifikaatidega seotud probleem. Ootel on Let\u2019s Encrypt ja nutitelerid | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"et_EE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0445 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041d\u0430 \u043e\u0447\u0435\u0440\u0435\u0434\u0438 Let\u2019s Encrypt \u0438 \u0443\u043c\u043d\u044b\u0435 \u0442\u0435\u043b\u0435\u0432\u0438\u0437\u043e\u0440\u044b | ProHoster","og:url":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-10T11:43:11+00:00","article:modified_time":"2020-06-10T11:43:11+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"84766","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:51:43","updated":"2022-09-29 06:39:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/84766","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/comments?post=84766"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/84766\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media\/84767"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media?parent=84766"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/categories?post=84766"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/tags?post=84766"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}