AddTrust રુટ પ્રમાણપત્ર અવમૂલ્યન OpenSSL અને GnuTLS સિસ્ટમો પર ક્રેશનું કારણ બને છે

30 મેના રોજ, રૂટ સર્ટિફિકેટની 20-વર્ષની માન્યતા અવધિ સમાપ્ત થઈ ગઈ ટ્રસ્ટ ઉમેરો, જે લાગુ સૌથી મોટા સર્ટિફિકેશન ઓથોરિટી સેક્ટિગો (કોમોડો) માંથી એકના ક્રોસ-સાઇન કરેલ પ્રમાણપત્રો જનરેટ કરવા. લેગસી ઉપકરણો સાથે સુસંગતતા માટે ક્રોસ-સાઇનિંગની મંજૂરી છે કે જેમની પાસે નવું USERTRust રૂટ પ્રમાણપત્ર તેમના રૂટ પ્રમાણપત્ર સ્ટોરમાં ઉમેરાયેલ નથી.

સૈદ્ધાંતિક રીતે, AddTrust રૂટ પ્રમાણપત્રની સમાપ્તિ માત્ર લેગસી સિસ્ટમ્સ (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, વગેરે) સાથે સુસંગતતાના ઉલ્લંઘન તરફ દોરી જાય છે, કારણ કે ક્રોસ-સિગ્નેચરમાં વપરાતું બીજું રૂટ પ્રમાણપત્ર રહે છે. વિશ્વાસની સાંકળ તપાસતી વખતે માન્ય અને આધુનિક બ્રાઉઝર્સ તેને ધ્યાનમાં લે છે. પ્રેક્ટિસ પર દર્શાવ્યું OpenSSL 1.0.x અને GnuTLS પર આધારિત સહિત નોન-બ્રાઉઝર TLS ક્લાયંટમાં ક્રોસ-સિગ્નેચર વેરિફિકેશનમાં સમસ્યાઓ. જો સર્વર AddTrust રુટ પ્રમાણપત્ર સાથે વિશ્વાસની સાંકળ દ્વારા લિંક કરેલ Sectigo પ્રમાણપત્રનો ઉપયોગ કરી રહ્યું હોય તો પ્રમાણપત્ર જૂનું છે તે દર્શાવતી ભૂલ સાથે સુરક્ષિત કનેક્શન હવે સ્થાપિત થતું નથી.

જો આધુનિક બ્રાઉઝર્સના વપરાશકર્તાઓએ ક્રોસ-સાઇન કરેલ Sectigo પ્રમાણપત્રોની પ્રક્રિયા કરતી વખતે AddTrust રુટ પ્રમાણપત્રની અપ્રચલિતતા ધ્યાનમાં લીધી ન હતી, તો પછી વિવિધ તૃતીય-પક્ષ એપ્લિકેશનો અને સર્વર-સાઇડ હેન્ડલર્સમાં સમસ્યાઓ પોપ અપ થવા લાગી, જેના કારણે ઉલ્લંઘન работы ઘટકો વચ્ચેની ક્રિયાપ્રતિક્રિયા માટે એન્ક્રિપ્ટેડ કમ્યુનિકેશન ચેનલોનો ઉપયોગ કરતા ઘણા ઈન્ફ્રાસ્ટ્રક્ચર.

ઉદાહરણ તરીકે, ત્યાં હતા проблемы ડેબિયન અને ઉબુન્ટુમાં કેટલાક પેકેજ રીપોઝીટરીઝની ઍક્સેસ સાથે (એપ્ટે પ્રમાણપત્ર ચકાસણી ભૂલ જનરેટ કરવાનું શરૂ કર્યું), "curl" અને "wget" ઉપયોગિતાઓનો ઉપયોગ કરતી સ્ક્રિપ્ટોમાંથી વિનંતીઓ નિષ્ફળ થવા લાગી, Git નો ઉપયોગ કરતી વખતે ભૂલો જોવા મળી, ઉલ્લંઘન કર્યું રોકુ સ્ટ્રીમિંગ પ્લેટફોર્મ કામ કરી રહ્યું છે, હેન્ડલર્સને હવે બોલાવવામાં આવતા નથી ગેરુનો и ડેટાડોગ, શરૂ કર્યું ક્રેશ થાય છે Heroku એપ્લિકેશન્સમાં, બંધ OpenLDAP ક્લાયન્ટ્સ કનેક્ટ થાય છે, SMTPS અને SMTP સર્વરને STARTTLS સાથે મેઇલ મોકલવામાં સમસ્યાઓ મળી આવે છે. આ ઉપરાંત, વિવિધ રૂબી, PHP અને પાયથોન સ્ક્રિપ્ટ્સમાં સમસ્યાઓ જોવા મળે છે જે HTTP ક્લાયન્ટ સાથે મોડ્યુલનો ઉપયોગ કરે છે. બ્રાઉઝર સમસ્યા અસર કરે છે એપિફેની, જેણે જાહેરાત અવરોધિત સૂચિ લોડ કરવાનું બંધ કર્યું.

ગો પ્રોગ્રામ્સ આ સમસ્યાથી પ્રભાવિત થતા નથી કારણ કે ગો ઓફર કરે છે પોતાનું અમલીકરણ TLS.

એવું ધારવામાં આવ્યું હતુંકે સમસ્યા જૂના વિતરણ પ્રકાશનોને અસર કરે છે (ડેબિયન 9, ઉબુન્ટુ 16.04 સહિત, RHEL 6/7) જે સમસ્યારૂપ OpenSSL શાખાઓનો ઉપયોગ કરે છે, પરંતુ સમસ્યા પોતે પ્રગટ થયા જ્યારે APT પેકેજ મેનેજર ડેબિયન 10 અને ઉબુન્ટુ 18.04/20.04 ના વર્તમાન પ્રકાશનોમાં ચાલી રહ્યું હોય ત્યારે પણ, કારણ કે APT GnuTLS લાઇબ્રેરીનો ઉપયોગ કરે છે. સમસ્યાનું મૂળ એ છે કે ઘણી TLS/SSL લાઇબ્રેરીઓ પ્રમાણપત્રને રેખીય સાંકળ તરીકે પાર્સ કરે છે, જ્યારે RFC 4158 મુજબ, પ્રમાણપત્ર બહુવિધ ટ્રસ્ટ એન્કર સાથે નિર્દેશિત વિતરિત પરિપત્ર ગ્રાફનું પ્રતિનિધિત્વ કરી શકે છે જેને ધ્યાનમાં લેવાની જરૂર છે. OpenSSL અને GnuTLS માં આ ખામી વિશે હતી જાણીતા ઘણા વર્ષો સુધી. OpenSSL માં સમસ્યા બ્રાન્ચ 1.1.1 અને માં ઠીક કરવામાં આવી હતી gnuTLS રહે છે અસુધારિત.

એક ઉપાય તરીકે, સિસ્ટમ સ્ટોરમાંથી "AddTrust External CA Root" પ્રમાણપત્રને દૂર કરવાનું સૂચન કરવામાં આવે છે (ઉદાહરણ તરીકે, /etc/ca-certificates.conf અને /etc/ssl/certs માંથી દૂર કરો, અને પછી "update-ca" ચલાવો. -પ્રમાણપત્રો -f -v"), જે પછી OpenSSL સામાન્ય રીતે તેની ભાગીદારી સાથે ક્રોસ-સહી કરેલ પ્રમાણપત્રોની પ્રક્રિયા કરવાનું શરૂ કરે છે. APT પેકેજ મેનેજરનો ઉપયોગ કરતી વખતે, તમે તમારા પોતાના જોખમે વ્યક્તિગત વિનંતીઓ માટે પ્રમાણપત્ર ચકાસણીને અક્ષમ કરી શકો છો (ઉદાહરણ તરીકે, "apt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false") .

માં સમસ્યાને અવરોધિત કરવા માટે Fedora и આરએચએલ બ્લેકલિસ્ટમાં AddTrust પ્રમાણપત્ર ઉમેરવાનો પ્રસ્તાવ છે:

trust dump —filter «pkcs11:id=%AD%BD%98%7A%34%B4%26%F7%FA%C4%26%54%EF%03%BD%E0%24%CB%54%1A;type=cert» \
> /etc/pki/ca-trust/source/blacklist/addtrust-external-root.p11-kit
અપડેટ-ca-ટ્રસ્ટ અર્ક

પરંતુ આ પદ્ધતિ કામ કરતું નથી GnuTLS માટે (ઉદાહરણ તરીકે, wget ઉપયોગિતા ચલાવતી વખતે પ્રમાણપત્ર ચકાસણી ભૂલ દેખાવાનું ચાલુ રહે છે).

સર્વર બાજુ પર તમે કરી શકો છો બદલો ઓર્ડર સર્વર દ્વારા ક્લાયંટને મોકલવામાં આવેલ ટ્રસ્ટ ચેઇનમાં પ્રમાણપત્રોની સૂચિ (જો "AddTrust External CA Root" સાથે સંકળાયેલ પ્રમાણપત્ર સૂચિમાંથી દૂર કરવામાં આવે, તો ક્લાયંટની ચકાસણી સફળ થશે). વિશ્વાસની નવી સાંકળ તપાસવા અને જનરેટ કરવા માટે, તમે સેવાનો ઉપયોગ કરી શકો છો whatsmychaincert.com. Sectigo પણ પૂરી પાડવામાં આવેલ છે વૈકલ્પિક ક્રોસ સહી કરેલ મધ્યવર્તી પ્રમાણપત્ર "એએએ પ્રમાણપત્ર સેવાઓ", જે 2028 સુધી માન્ય રહેશે અને OS ના જૂના સંસ્કરણો સાથે સુસંગતતા જાળવી રાખશે.

ઉમેરો: સમસ્યા પણ દેખાય છે LibreSSL માં.

સોર્સ: opennet.ru