{"id":83443,"date":"2020-05-31T13:42:09","date_gmt":"2020-05-31T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls"},"modified":"2020-05-31T13:42:09","modified_gmt":"2020-05-31T11:42:09","slug":"ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","title":{"rendered":"L'expiration du certificat racine AddTrust a entra\u00een\u00e9 des pannes dans les syst\u00e8mes utilisant OpenSSL et GnuTLS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Le 30 mai, la dur\u00e9e de validit\u00e9 de 20 ans du certificat racine a expir\u00e9 AddTrust<\/a><\/noindex>, qui on utilisait<\/a><\/noindex> pour la cr\u00e9ation d'une signature crois\u00e9e (cross-signed) dans les certificats de l'un des plus grands centres de certification, Sectigo (Comodo). La signature crois\u00e9e permettait d'assurer la compatibilit\u00e9 avec les dispositifs obsol\u00e8tes, dont le magasin de certificats racines n'avait pas int\u00e9gr\u00e9 le nouveau certificat racine USERTrust. <\/p>\n

\"L'expiration<\/a><\/noindex><\/center><\/p>\n

Th\u00e9oriquement, l'expiration du certificat racine AddTrust n'aurait d\u00fb entra\u00eener qu'une perte de compatibilit\u00e9 avec les syst\u00e8mes anciens (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, etc.), puisque le deuxi\u00e8me certificat racine utilis\u00e9 dans la signature crois\u00e9e demeure valide et que les navigateurs modernes en tiennent compte lors de la v\u00e9rification de la cha\u00eene de confiance. En pratique des probl\u00e8mes ont \u00e9t\u00e9 d\u00e9couverts<\/a><\/noindex> concernant la v\u00e9rification de la signature crois\u00e9e dans des clients utilisant TLS d\u00e9pourvus de navigateur, y compris ceux bas\u00e9s sur OpenSSL 1.0.x et GnuTLS. Une connexion s\u00e9curis\u00e9e a cess\u00e9 d'\u00eatre \u00e9tablie avec une erreur indiquant l'obsolescence du certificat, si le serveur utilise un certificat Sectigo li\u00e9 par une cha\u00eene de confiance au certificat racine AddTrust.<\/p>\n

Si les utilisateurs des navigateurs modernes n'ont pas remarqu\u00e9 l'obsolescence du certificat racine AddTrust lors du traitement des certificats sign\u00e9s crois\u00e9s de Sectigo, divers applications tierces et gestionnaires de serveurs ont commenc\u00e9 \u00e0 rencontrer des probl\u00e8mes, ce qui a conduit \u00e0 violation<\/a><\/noindex> des interruptions de service<\/a><\/noindex> de nombreuses infrastructures utilisant des canaux de communication chiffr\u00e9s pour interagir entre les composants. <\/p>\n

Par exemple, il y a eu des difficult\u00e9s des probl\u00e8mes<\/a><\/noindex> avec acc\u00e8s \u00e0 certains d\u00e9p\u00f4ts de paquets dans Debian et Ubuntu (apt a commenc\u00e9 \u00e0 renvoyer une erreur de v\u00e9rification de certificat), les appels depuis des scripts utilisant les utilitaires \u00ab curl \u00bb et \u00ab wget \u00bb \u00e9chouent, des erreurs se produisent lors de l'utilisation de Git, perturbant<\/a><\/noindex> le fonctionnement de la plateforme de streaming Roku, les gestionnaires ont cess\u00e9 d'\u00eatre appel\u00e9s Stripe<\/a><\/noindex> et DataDog<\/a><\/noindex>, des plantages ont commenc\u00e9 \u00e0 se produire dans les applications Heroku,<\/a><\/noindex> les clients OpenLDAP ont cess\u00e9 de se connecter, des probl\u00e8mes ont \u00e9t\u00e9 constat\u00e9s avec l'envoi de courriels vers des serveurs SMTPS et SMTP avec STARTTLS. De plus, des probl\u00e8mes apparaissent dans divers scripts Ruby, PHP et Python utilisant le module avec le client HTTP. Dans les navigateurs, le probl\u00e8me concerne Epiphany, qui ne chargent plus les listes de blocage de publicit\u00e9s.<\/a><\/noindex> Les programmes \u00e9crits en Go ne sont pas affect\u00e9s par le probl\u00e8me, car Go propose touche<\/a><\/noindex> TLS.<\/p>\n

Il \u00e9tait pr\u00e9vu impl\u00e9mentation propre<\/a><\/noindex> TLS.<\/p>\n

On s'attendait \u00e0<\/a><\/noindex>, que le probl\u00e8me concerne les anciennes versions des distributions (y compris Debian 9, Ubuntu 16.04, RHEL 6\/7<\/a><\/noindex>) qui utilisent des branches probl\u00e9matiques d'OpenSSL, mais le probl\u00e8me s'est manifest\u00e9<\/a><\/noindex> \u00e9galement lors de l'utilisation du gestionnaire de paquets APT dans les versions r\u00e9centes de Debian 10 et Ubuntu 18.04\/20.04, car APT utilise la biblioth\u00e8que GnuTLS. Le c\u0153ur du probl\u00e8me est que de nombreuses biblioth\u00e8ques TLS\/SSL interpr\u00e8tent le certificat comme une cha\u00eene lin\u00e9aire, alors que conform\u00e9ment \u00e0 la RFC 4158, un certificat peut repr\u00e9senter un graphe cyclique orient\u00e9 distribu\u00e9 avec plusieurs points d'ancrage de confiance qui doivent \u00eatre pris en compte. Ce manque dans OpenSSL et GnuTLS c'\u00e9tait<\/a><\/noindex> r\u00e9v\u00e9l\u00e9<\/a><\/noindex> est connu depuis de nombreuses ann\u00e9es<\/a><\/noindex>. Dans OpenSSL, le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 dans la branche 1.1.1, tandis que dans GnuTLS<\/a><\/noindex> reste non corrig\u00e9<\/a><\/noindex>.<\/p>\n

Comme solution de contournement, il est propos\u00e9 de supprimer le certificat \u00ab AddTrust External CA Root \u00bb du stockage syst\u00e8me (par exemple, en le supprimant de \/etc\/ca-certificates.conf et \/etc\/ssl\/certs, puis en ex\u00e9cutant \u00ab update-ca-certificates -f -v \u00bb), apr\u00e8s quoi OpenSSL commencera \u00e0 traiter correctement les certificats sign\u00e9s en crois\u00e9 impliquant. Lors de l'utilisation du gestionnaire de paquets APT, \u00e0 vos risques et p\u00e9rils, vous pouvez d\u00e9sactiver la v\u00e9rification des certificats pour certaines requ\u00eates (par exemple, \u00ab apt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false \u00bb). <\/p>\n

Pour bloquer le probl\u00e8me dans Fedora<\/a><\/noindex> et RHEL<\/a><\/noindex> il est propos\u00e9 d'ajouter le certificat AddTrust \u00e0 la liste noire :<\/p>\n

vidange de confiance \u2014 filtre \u00ab pkcs11:id=;type=cert\u00bb \\
\n > \/etc\/pki\/ca-trust\/source\/blacklist\/addtrust-external-root.p11-kit
\n update-ca-trust extract<\/p>\n

Mais cette m\u00e9thode ne fonctionne pas<\/a><\/noindex> pour GnuTLS (par exemple, une erreur de v\u00e9rification de certificat continue d'appara\u00eetre lors du lancement de l'outil wget).<\/p>\n

Du c\u00f4t\u00e9 serveur, il est possible de modifier<\/a><\/noindex> l'ordre<\/a><\/noindex> \u00e9num\u00e9ration des certificats dans la cha\u00eene de confiance, envoy\u00e9s par le serveur au client (si le certificat associ\u00e9 \u00e0 \u00ab AddTrust External CA Root \u00bb est retir\u00e9 de la liste, la v\u00e9rification c\u00f4t\u00e9 client r\u00e9ussira). Pour v\u00e9rifier et g\u00e9n\u00e9rer une nouvelle cha\u00eene de confiance, vous pouvez utiliser le service whatsmychaincert.com<\/a><\/noindex>. La soci\u00e9t\u00e9 Sectigo a \u00e9galement fournit<\/a><\/noindex> certificat interm\u00e9diaire sign\u00e9 en crois\u00e9 alternatif \u00abAAA Certificate Services<\/a><\/noindex>\u00bb, qui sera valide jusqu'en 2028 et permettra de maintenir la compatibilit\u00e9 avec les anciennes versions des syst\u00e8mes d'exploitation.<\/p>\n

Ajout : Le probl\u00e8me se trouve \u00e9galement se manifeste<\/a><\/noindex> dans LibreSSL.<\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438 (cross-signed) \u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u0445 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0438\u0445 \u0446\u0435\u043d\u0442\u0440\u043e\u0432 Sectigo (Comodo). \u041f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u043c\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0432 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0435 \u0431\u044b\u043b \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 USERTRust. \u0422\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0432\u0435\u0441\u0442\u0438 \u043b\u0438\u0448\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":83444,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-83443","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Le retrait du certificat racine AddTrust a entra\u00een\u00e9 des pannes dans les syst\u00e8mes utilisant OpenSSL et GnuTLS | ProHoster","description":"Le 30 mai, le certificat racine AddTrust a expir\u00e9 apr\u00e8s 20 ans de validit\u00e9,","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u043f\u0440\u0438\u0432\u0435\u043b\u043e \u043a \u0441\u0431\u043e\u044f\u043c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u0441 OpenSSL \u0438 GnuTLS | ProHoster","og:description":"30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-31T11:42:09+00:00","article:modified_time":"2020-05-31T11:42:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"83443","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:17:29","updated":"2022-09-28 18:33:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/83443","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=83443"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/83443\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/83444"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=83443"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=83443"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=83443"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}