Prekid važenja korijenskog certifikata kompanije IdenTrust (DST Root CA X3), koji se koristio za međusobno potpisivanje korijenskog certifikata certifikacijskog tijela Let’s Encrypt, doveo je do problema s provjerom certifikata Let’s Encrypt u projektima koji koriste stare verzije OpenSSL i GnuTLS. Problemi su također pogodili i biblioteku LibreSSL, čiji su programeri zanemarili prethodno iskustvo vezano uz kvarove koji su se pojavili nakon isteka korijenskog certifikata AddTrust certifikacijskog tijela Sectigo (Comodo).
Podsjećamo da su u izdanjima OpenSSL do grane 1.0.2 uključivo i u GnuTLS do izdanja 3.6.14 postojale greške koje nisu omogućavale pravilnu obradu međusobno potpisanih certifikata u slučaju prestanka važenja jednog od korijenskih certifikata koji su sudjelovali u potpisivanju, čak i ako su ostale druge važeće lance povjerenja (u slučaju Let’s Encrypt prestanak važenja korijenskog certifikata IdenTrust ne omogućava provjeru, čak i ako sustav ima podršku za vlastiti korijenski certifikat Let’s Encrypt koji važi do 2030. godine). Suština greške je u tome što su stare verzije OpenSSL i GnuTLS obrađivale certifikat kao linearni lanac, dok prema RFC 4158 certifikat može predstavljati usmjereni raspodijeljeni ciklički graf s više diskretnosti povjerenja koje je potrebno uzeti u obzir.
Kao alternativno rješenje za otklanjanje greške, predlaže se da se ukloni certifikat „DST Root CA X3“ iz sistemskog skladišta (/etc/ca-certificates.conf i /etc/ssl/certs), nakon čega treba pokrenuti naredbu „update-ca-certificates -f -v“. Na CentOS-u i RHEL-u može se dodati certifikat „DST Root CA X3“ na crnu listu: trust dump —filter „pkcs11:id=“ | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract
Neki od zabilježenih kvarova nastalih nakon prestanka važenja korijenskog certifikata IdenTrust:
- U OpenBSD-u prestala je raditi alatka syspatch, koja se koristi za instalaciju binarnih ažuriranja sustava. OpenBSD projekt je danas hitno objavio zakrpe za grane 6.8 i 6.9, koje rješavaju probleme s provjerom međusobno potpisanih certifikata u LibreSSL-u, jedan od korijenskih certifikata u lancu povjerenja je istekao. Kao zaobilazno rješenje, preporučuje se u /etc/installurl prebaciti s HTTPS-a na HTTP (sigurnosti to ne prijeti, jer se ažuriranja dodatno verificiraju digitalnim potpisom) ili odabrati alternativno ogledalo (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). Također se može ukloniti istekao korijenski certifikat DST Root CA X3 iz datoteke /etc/ssl/cert.pem.
- U DragonFly BSD-u slični problemi primjećuju se prilikom rada s DPorts-om. Prilikom pokretanja upravitelja paketa pkg pojavljuje se greška u provjeri certifikata. Ispravka je danas dodana u grane master, DragonFly_RELEASE_6_0 i DragonFly_RELEASE_5_8. Kao zaobilazno rješenje može se ukloniti certifikat DST Root CA X3.
- Poremećen je proces provjere certifikata Let’s Encrypt u aplikacijama temeljenim na Electron platformi. Problem je ispravljen u ažuriranjima 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- U nekim distribucijama primjećeni su problemi s pristupom paketnim repozitorijima prilikom korištenja upravitelja paketa APT, povezanim sa starim verzijama biblioteke GnuTLS. Problem je zahvatio Debian 9, u kojem je primijenjen neispravljeni paket GnuTLS, što je dovelo do problema pri pristupu deb.debian.org korisnicima koji nisu pravovremeno instalirali ažuriranja (ispravka gnutls28-3.5.8-5+deb9u6 je predložena 17. rujna). Kao zaobilazno rješenje problema preporučuje se ukloniti DST_Root_CA_X3.crt iz datoteke /etc/ca-certificates.conf.
- Prekinuta je funkcionalnost acme-client-a u distribuciji za izradu međuslojnih vatrozida OPNsense, o problemu je bilo unaprijed izviješteno, ali developeri nisu uspjeli pravovremeno objaviti zakrpu.
- Problem je zahvaćao paket OpenSSL 1.0.2k u RHEL/CentOS 7, ali je prije tjedan dana za RHEL 7 i CentOS 7 objavljena ažurirana verzija paketa ca-certificates-2021.2.50-72.el7_9.noarch, iz koje je uklonjen certifikat IdenTrust, tj. manifestacija problema je unaprijed blokirana. Slična ažuriranja objavljena su prije tjedan dana za Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 i Ubuntu 18.04. Budući da su ažuriranja objavljena unaprijed, problem s provjerom certifikata Let’s Encrypt pogodio je samo korisnike starih verzija RHEL/CentOS i Ubuntua, koji ne ažuriraju redovito.
- Prekidan je proces provjere certifikata u grpc.
- Sabotiran je proces izgradnje platforme Cloudflare Pages.
- Problemi u Amazon Web Services (AWS).
- Problemi s povezivanjem na bazu podataka kod korisnika DigitalOcean.
- Sabotiran je rad oblaka platforme Netlify.
- Problemi s pristupom uslugama Xero.
- Greška prilikom pokušaja uspostavljanja TLS veze s Web API-jem usluge MailGun.
- Neispravnosti u verzijama macOS i iOS (11, 13, 14), koje teorijski ne bi trebale biti pogođene problemom.
- Sabotiran je rad usluga Catchpoint.
- Greška provjere certifikata prilikom pristupa API-ju PostMan.
- Sabotiran je rad Guardian Firewall-a.
- Poremećaj u radu stranice podrške monday.com.
- Sabotiran je rad platforme Cerb.
- Greška prilikom provjere uptime-a u Google Cloud Monitoring-u.
- Problem s provjerom certifikata u Cisco Umbrella Secure Web Gateway.
- Problemi s povezivanjem na proxy Bluecoat i Palo Alto.
- U OVHcloud su se pojavili problemi s povezivanjem na OpenStack API.
- Problemi s generiranjem izvještaja u Shopify-u.
- Primjećeni su problemi prilikom pristupa API-ju Heroku.
- Sabotiran je rad Ledger Live Manager-a.
- Greška provjere certifikata u alatima za razvoj aplikacija na Facebooku.
- Problemi u Sophos SG UTM.
- Problemi s provjerom certifikata u cPanel-u.
Izvor: opennet.ru
