AddTrust रूट प्रमाणपत्र अवक्षेपण के कारण OpenSSL और GnuTLS सिस्टम पर क्रैश हो जाता है

30 मई को रूट सर्टिफिकेट की 20 साल की वैधता अवधि समाप्त हो गई ऐडट्रस्टजो लागू सबसे बड़े प्रमाणन प्राधिकरणों में से एक सेक्टिगो (कोमोडो) के क्रॉस-हस्ताक्षरित प्रमाणपत्र तैयार करने के लिए। उन पुराने उपकरणों के साथ संगतता के लिए क्रॉस-साइनिंग की अनुमति दी गई है जिनके रूट प्रमाणपत्र स्टोर में नया USERTRust रूट प्रमाणपत्र नहीं जोड़ा गया है।

सैद्धांतिक रूप से, AddTrust रूट प्रमाणपत्र की समाप्ति से केवल लीगेसी सिस्टम (Android 2.3, Windows XP, Mac OS विश्वसनीय और आधुनिक ब्राउज़र विश्वास की श्रृंखला की जाँच करते समय इसे ध्यान में रखते हैं। अभ्यास पर दिखाया गैर-ब्राउज़र टीएलएस क्लाइंट में क्रॉस-हस्ताक्षर सत्यापन की समस्याएं, जिनमें ओपनएसएसएल 1.0.x और जीएनयूटीएलएस पर आधारित क्लाइंट भी शामिल हैं। यदि सर्वर AddTrust रूट प्रमाणपत्र पर विश्वास की श्रृंखला से जुड़े सेक्टिगो प्रमाणपत्र का उपयोग कर रहा है, तो एक त्रुटि के साथ एक सुरक्षित कनेक्शन स्थापित नहीं होता है जो दर्शाता है कि प्रमाणपत्र पुराना है।

यदि आधुनिक ब्राउज़रों के उपयोगकर्ताओं ने क्रॉस-हस्ताक्षरित सेक्टिगो प्रमाणपत्रों को संसाधित करते समय AddTrust रूट प्रमाणपत्र की अप्रचलनता पर ध्यान नहीं दिया, तो विभिन्न तृतीय-पक्ष अनुप्रयोगों और सर्वर-साइड हैंडलर में समस्याएं सामने आने लगीं, जिसके कारण उल्लंघन काम कई बुनियादी ढांचे जो घटकों के बीच बातचीत के लिए एन्क्रिप्टेड संचार चैनलों का उपयोग करते हैं।

उदाहरण के लिए, वहाँ थे समस्याओं डेबियन और उबंटू में कुछ पैकेज रिपॉजिटरी तक पहुंच के साथ (एप्ट ने प्रमाणपत्र सत्यापन त्रुटि उत्पन्न करना शुरू कर दिया), "कर्ल" और "डब्ल्यूगेट" उपयोगिताओं का उपयोग करने वाली स्क्रिप्ट से अनुरोध विफल होने लगे, गिट का उपयोग करते समय त्रुटियां देखी गईं, उल्लंघन Roku स्ट्रीमिंग प्लेटफ़ॉर्म काम कर रहा है, हैंडलर को अब नहीं बुलाया जाता है Stripe и DataDog, शुरू कर दिया दुर्घटनाएँ होती हैं हेरोकू ऐप्स में, रोका हुआ OpenLDAP क्लाइंट कनेक्ट होते हैं, STARTTLS के साथ SMTPS और SMTP सर्वर पर मेल भेजने में समस्याओं का पता चलता है। इसके अलावा, विभिन्न रूबी, पीएचपी और पायथन स्क्रिप्ट में समस्याएं देखी जाती हैं जो http क्लाइंट के साथ एक मॉड्यूल का उपयोग करते हैं। ब्राउज़र समस्या को प्रभावित करता है एपिफेनी, जिसने विज्ञापन अवरोधक सूचियाँ लोड करना बंद कर दिया।

गो कार्यक्रम इस समस्या से प्रभावित नहीं होते क्योंकि गो ऑफर करता है स्वयं का कार्यान्वयन टीएलएस।

यह मान लिया गया थायह समस्या पुराने वितरण रिलीज़ को प्रभावित करती है (डेबियन 9, उबंटू 16.04 सहित, आरएचईएल 6/7) जो समस्याग्रस्त ओपनएसएसएल शाखाओं का उपयोग करते हैं, लेकिन समस्या है स्वयं प्रकट हुआ तब भी जब एपीटी पैकेज मैनेजर डेबियन 10 और उबंटू 18.04/20.04 के वर्तमान रिलीज में चल रहा है, क्योंकि एपीटी जीएनयूटीएलएस लाइब्रेरी का उपयोग करता है। समस्या की जड़ यह है कि कई टीएलएस/एसएसएल पुस्तकालय एक प्रमाणपत्र को एक रैखिक श्रृंखला के रूप में पार्स करते हैं, जबकि आरएफसी 4158 के अनुसार, एक प्रमाणपत्र कई ट्रस्ट एंकरों के साथ एक निर्देशित वितरित परिपत्र ग्राफ का प्रतिनिधित्व कर सकता है जिसे ध्यान में रखना आवश्यक है। OpenSSL और GnuTLS में इस दोष के बारे में यह था ज्ञात है कई वर्षों के लिए. ओपनएसएसएल में समस्या को शाखा 1.1.1 और इसमें ठीक किया गया था GNUTLS अवशेष ठीक नहीं किया गया.

वैकल्पिक समाधान के रूप में, सिस्टम स्टोर से "AddTrust external CA Root" प्रमाणपत्र को हटाने का सुझाव दिया गया है (उदाहरण के लिए, /etc/ca-certificates.conf और /etc/ssl/certs से हटाएं, और फिर "update-ca) चलाएं -सर्टिफिकेट -f -v"), जिसके बाद ओपनएसएसएल सामान्य रूप से अपनी भागीदारी के साथ क्रॉस-हस्ताक्षरित प्रमाणपत्रों को संसाधित करना शुरू कर देता है। एपीटी पैकेज मैनेजर का उपयोग करते समय, आप अपने जोखिम पर व्यक्तिगत अनुरोधों के लिए प्रमाणपत्र सत्यापन अक्षम कर सकते हैं (उदाहरण के लिए, "apt-get update -o Acquire::https::download.gitsi.org::Verify-Peer=false") .

समस्या को रोकने के लिए फेडोरा и RHEL AddTrust प्रमाणपत्र को काली सूची में जोड़ने का प्रस्ताव है:

trust dump —filter «pkcs11:id=%AD%BD%98%7A%34%B4%26%F7%FA%C4%26%54%EF%03%BD%E0%24%CB%54%1A;type=cert» \
> /etc/pki/ca-trust/source/blacklist/addtrust-external-root.p11-kit
अपडेट-सीए-ट्रस्ट एक्सट्रैक्ट

लेकिन यह विधि काम नहीं कर रहा है GnuTLS के लिए (उदाहरण के लिए, wget उपयोगिता चलाने पर एक प्रमाणपत्र सत्यापन त्रुटि दिखाई देती रहती है)।

सर्वर साइड पर आप कर सकते हैं बदलने के लिए व्यवस्था सर्वर द्वारा क्लाइंट को भेजे गए ट्रस्ट चेन में प्रमाणपत्रों को सूचीबद्ध करना (यदि "एडट्रस्ट एक्सटर्नल सीए रूट" से जुड़ा प्रमाणपत्र सूची से हटा दिया जाता है, तो क्लाइंट का सत्यापन सफल होगा)। विश्वास की एक नई श्रृंखला की जाँच करने और उत्पन्न करने के लिए, आप सेवा का उपयोग कर सकते हैं Whatsmychancert.com. सेक्टिगो भी प्रदान की वैकल्पिक क्रॉस-हस्ताक्षरित मध्यवर्ती प्रमाणपत्र "एएए प्रमाणपत्र सेवाएं“, जो 2028 तक वैध रहेगा और ओएस के पुराने संस्करणों के साथ अनुकूलता बनाए रखेगा।

जोड़: समस्या भी प्रकट होता है लिबरएसएसएल में।

स्रोत: opennet.ru