Az IdenTrust (DST Root CA X3) gyökértanúsítványának hatályának megszűnése, amelyet a Let's Encrypt gyökértanúsítványának keresztreferálására használtak, problémákat okozott a Let's Encrypt tanúsítványok ellenőrzésében azokban a projektekben, amelyek régi verziókat használnak az OpenSSL és a GnuTLS programból. A problémák érintették a LibreSSL könyvtárat is, amelynek fejlesztői nem vették figyelembe a múltbeli tapasztalatokat, amelyek a Sectigo (Comodo) hitelesítésszolgáltató AddTrust gyökértanúsítványának elavulásával kapcsolatos leállásokból adódtak.
Ne feledjük, hogy az OpenSSL 1.0.2-ig terjedő verzióiban és a GnuTLS 3.6.14-ig terjedő verzióiban létezett egy hiba, amely nem tette lehetővé a keresztreferált tanúsítványok helyes kezelését, ha az aláírásban használt egyik gyökértanúsítvány elavult, még akkor is, ha más érvényes bizalmi láncok fennmaradtak (a Let's Encrypt esetében az IdenTrust gyökértanúsítványának elavulása nem teszi lehetővé az ellenőrzést, még akkor is, ha a rendszerben van támogatás a Let's Encrypt saját gyökértanúsítványához, amely 2030-ig érvényes). A hiba lényege, hogy az OpenSSL és a GnuTLS régi verziói a tanúsítványt lineáris láncként elemezték, míg az RFC 4158 szerint a tanúsítvány egy irányított elosztott ciklikus gráfot képviselhet több bizalmi gyökérrel, amelyeket figyelembe kell venni.
A hiba megkerülésére javasolt megoldás, hogy távolítsuk el a rendszer tárolójából (\/etc\/ca-certificates.conf és \/etc\/ssl\/certs) a "DST Root CA X3" tanúsítványt, majd futtassuk a "update-ca-certificates -f -v" parancsot. CentOS és RHEL rendszereken a "DST Root CA X3" tanúsítványt feketelistára helyezhetjük: trust dump —filter "pkcs11:id=" | openssl x509 | sudo tee \/etc\/pki\/ca-trust\/source\/blacklist\/DST-Root-CA-X3.pem sudo update-ca-trust extract
Néhány a gyökértanúsítvány IdenTrust hatályának megszűnésével kapcsolatos problémák közül, amelyeket észleltek:
- Az OpenBSD-ben leállt a syspatch segédprogram működése, amely a rendszeren belüli bináris frissítések telepítésére szolgál. Az OpenBSD projekt sürgősséggel kiadta a 6.8 és 6.9 ágakhoz szükséges javításokat, amelyek megszüntetik a LibreSSL által okozott problémákat a keresztül aláírt tanúsítványok ellenőrzésében, mivel az egyik gyökértanúsítvány a bizalmi láncban lejárt. A probléma megkerülésére javasolt, hogy a \/etc\/installurl fájlban váltson HTTPS-ről HTTP-ra (ez nem veszélyezteti a biztonságot, mivel a frissítéseket digitális aláírás alapján további ellenőrzésnek vetik alá) vagy válassza az alternatív tükörszervert (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). Ezen kívül eltávolíthatja a lejárt gyökértanúsítványt, a DST Root CA X3-t a \/etc\/ssl\/cert.pem fájlból.
- A DragonFly BSD-ben hasonló problémák merülnek fel a DPorts használata során. A pkg csomagkezelő indításakor tanúsítványellenőrzési hiba lép fel. A javítás ma került bevezetésre a master, DragonFly_RELEASE_6_0 és DragonFly_RELEASE_5_8 ágakba. A probléma megkerülésére eltávolíthatja a DST Root CA X3 tanúsítványt.
- Megszakadt a Let’s Encrypt tanúsítványok ellenőrzési folyamata az Electron alapú alkalmazásokban. A probléma megoldva a 12.2.1, 13.5.1, 14.1.0 és 15.1.0 verziókban.
- Néhány disztribúcióban problémák léptek fel a csomagok repóinak elérésével a régi GnuTLS könyvtárhoz kapcsolódó APT csomagkezelő használata során. A probléma a Debian 9-et érintette, amelyben a hibás GnuTLS csomagot használták, ami a felhasználók számára problémákat okozott a deb.debian.org elérhetőségével, akik nem telepítették idejében a frissítéseket (a gnutls28-3.5.8-5+deb9u6 javítást szeptember 17-én ajánlották). A probléma megkerülésére javasolt eltávolítani a DST_Root_CA_X3.crt-t a \/etc\/ca-certificates.conf fájlból.
- Megszakadt acme-client működése az OPNsense tűzfal disztribúciójában, a problémáról előzetesen tájékoztattak, de a fejlesztők nem tudták időben kiadni a javítást.
- A probléma az OpenSSL 1.0.2k csomagot érintette a RHEL/CentOS 7-ben, de egy héttel ezelőtt frissítést adtak ki a ca-certificates-2021.2.50-72.el7_9.noarch csomaghoz RHEL 7 és CentOS 7 vonatkozásában, amelyből eltávolították az IdenTrust tanúsítványt, így a probléma megjelenése előre blokkolva lett. Hasonló frissítést tettek közzé egy héttel ezelőtt az Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 és Ubuntu 18.04 esetében is. Mivel a frissítések időben megjelentek, a Let’s Encrypt tanúsítványok ellenőrzésével kapcsolatos probléma csak a régi RHEL/CentOS és Ubuntu ágak felhasználóit érintette, akik nem telepítették rendszeresen a frissítéseket.
- Megsérült a tanúsítványok ellenőrzési folyamata a grpc-ben.
- Hiba történt a Cloudflare Pages platform összeállítása során.
- Problémák az Amazon Web Services (AWS) szolgáltatásaiban.
- Problémák a DigitalOcean felhasználói adatbázis-kapcsolatával.
- Hiba lépett fel a Netlify felhőplatform működésében.
- Problémák a Xero szolgáltatások elérésében.
- Hiba történt a TLS-kapcsolat létrehozásakor a MailGun Web API-jához.
- Hibák tapasztalhatók a macOS és iOS (11, 13, 14) verzióiban, amelyeket elméletileg a probléma nem érintett volna.
- Hiba a Catchpoint szolgáltatásaiban.
- Tanúsítvány-ellenőrzési hiba a PostMan API elérésénél.
- Hiba történt a Guardian Firewall működésében.
- Hiba a monday.com támogatási oldalán.
- Hiba a Cerb platform működésében.
- Hiba az uptime ellenőrzésénél a Google Cloud Monitoring-ban.
- Probléma a tanúsítványok ellenőrzésével a Cisco Umbrella Secure Web Gateway-ben.
- Problémák a Bluecoat és Palo Alto proxy kapcsolódással.
- Az OVHcloud-nál problémák léptek fel az OpenStack API-hoz való kapcsolódáskor.
- Problémák a Shopify jelentések generálásával.
- Problémák tapasztalhatók a Heroku API hívásakor.
- Hiba a Ledger Live Manager működésében.
- Tanúsítvány-ellenőrzési hiba a Facebook alkalmazásfejlesztői eszközökben.
- Problémák a Sophos SG UTM-ben.
- Problémák a cPanel tanúsítványainak ellenőrzésével.
Forrás: opennet.ru
