Szeptember 30-án 17:01-kor moszkvai idő szerint lejár az IdenTrust (DST Root CA X3) gyökértanúsítvány, amelyet a Let’s Encrypt (ISRG Root X1) hitelesítésszolgáltató gyökértanúsítványának kereszttámogatásához használtak. Ez a tanúsítvány közösségi irányítás alatt áll, és díjmentesen biztosít tanúsítványokat mindenkinek. A kereszttámogatás biztosította a Let’s Encrypt tanúsítványainak megbízhatóságát széles körű eszközök, operációs rendszerek és böngészők között a Let’s Encrypt saját gyökértanúsítványának tárolókba való integrálása során.
Kezdetben azt tervezték, hogy a DST Root CA X3 elavulásával a Let’s Encrypt projekt csak a saját gyökértanúsítványával aláírt tanúsítványokat fog kiadni, de ez a lépés a régi rendszerek széles körű kompatibilitásának elvesztéséhez vezetett volna, amelyek nem adták hozzá a Let’s Encrypt gyökértanúsítványát tárolóikhoz. Különösen körülbelül 30% az elterjedt Android-eszközök közül nem rendelkezik a Let’s Encrypt gyökértanúsítványáról információval, amely csak az Android 7.1.1 platformtól kezdve érhető el, amit 2016 végén adtak ki.
A Let’s Encrypt nem tervezett új kereszttámogatási megállapodást kötni, mivel ez további felelősséget ró a megállapodás résztvevőire, önállóságuktól fosztja meg őket, és megkötözi a kezük a másik hitelesítésszolgáltató összes eljárása és szabálya betartásában. Azonban egy potenciális probléma miatt a számos Android-eszközön a tervet felülvizsgálták. Új megállapodást kötöttek az IdenTrust hitelesítésszolgáltatóval, amelynek keretében létrehozták a Let’s Encrypt alternatív kereszttámogatott köztes tanúsítványát. A kereszttámogatás három évig érvényes lesz, és lehetővé teszi az Android 2.3.6-os verziójától kezdődő eszközök támogatását.
Mindazonáltal az új köztes tanúsítvány nem terjed ki sok más elavult rendszerre. Például a DST Root CA X3 tanúsítványának elavulása után szeptember 30-án a Let’s Encrypt tanúsítványokat már nem fogják elismerni az elavult firmware-eken és operációs rendszereken, ahol a Let’s Encrypt tanúsítványaihoz való bizalom biztosításához kézzel kell hozzáadni az ISRG Root X1 tanúsítványt a gyökértanúsítványok tárolójához. A problémák a következő területeken nyilvánulnak meg:
- OpenSSL a 1.0.2 verzióig (az 1.0.2-es ágazat támogatását 2019 decemberében megszüntették);
- NSS < 3.26;
- Java 8 < 8u141, Java 7 < 7u151;
- Windows < XP SP3;
- macOS < 10.12.1;
- iOS < 10 (iPhone < 5);
- Android < 2.3.6;
- Mozilla Firefox < 50;
- Ubuntu < 16.04;
- Debian < 8.
Az OpenSSL 1.0.2 esetében a probléma egy hibából adódik, amely megakadályozza a keresztül aláírt tanúsítványok helyes feldolgozását, ha az aláíráshoz használt egyik gyökértanúsítvány elavul, még akkor is, ha más érvényes bizalmi láncok megmaradnak. A probléma tavaly merült fel, amikor az AddTrust tanúsítvány, amelyet a Sectigo (Comodo) hitelesítő központ tanúsítványainak keresztül aláírásához használtak, elavult. A probléma lényege, hogy az OpenSSL a tanúsítványt lineáris láncként kezelte, míg az RFC 4158 szerint a tanúsítvány egy irányított elosztott ciklikus gráfot is jelenthet, több bizalmi gyökérrel, amelyeket figyelembe kell venni.
Az OpenSSL 1.0.2-re épülő régi disztribúciók felhasználóinak három alternatív megoldást ajánlanak a probléma megoldására:
- Manuálisan távolítsa el az IdenTrust DST Root CA X3 gyökértanúsítványt, és telepítse az elkülönített (nem keresztül aláírt) ISRG Root X1 gyökértanúsítványt.
- Az openssl verify és s_client parancsok futtatásakor megadható a "—trusted_first" opció.
- Használja a szerveren a SRG Root X1 eltérő gyökértanúsítvánnyal érvényesített tanúsítványt, amely nem rendelkezik keresztül aláírással. Ez a megoldás a régi Android-ügyfelekkel való kompatibilitás elvesztéséhez vezet.
Továbbá megemlíthető, hogy a Let’s Encrypt projekt átlépte a kétmilliárd generált tanúsítványt. Az egymilliárdos mérföldkövet tavaly februárban érték el. Naponta 2,2-2,4 millió új tanúsítványt generálnak. Az aktív tanúsítványok száma 192 millió (a tanúsítvány három hónapig érvényes), amely körülbelül 260 milliót fed le. domainok (egy évvel ezelőtt 195 millió domainbe voltak benne, két évvel ezelőtt 150 millió, három évvel ezelőtt 60 millió). A Firefox Telemetry szolgáltatás statisztikai adatai szerint a HTTPS-en keresztüli oldallátogatások globális részesedése 82% (egy évvel ezelőtt 81%, két évvel ezelőtt 77%, három évvel ezelőtt 69%, négy évvel ezelőtt 58%).
Forrás: opennet.ru
