Agar browser dapat mengautentikasi situs web, browser tersebut menampilkan rantai sertifikat yang valid. Rantai tipikal ditunjukkan di atas, dan mungkin terdapat lebih dari satu sertifikat perantara. Jumlah minimum sertifikat dalam rantai yang valid adalah tiga.
Sertifikat root adalah jantung dari otoritas sertifikat. Itu benar-benar terpasang di OS atau browser Anda, dan secara fisik ada di perangkat Anda. Itu tidak dapat diubah dari sisi server. Diperlukan pembaruan paksa OS atau firmware pada perangkat.
Spesialis Keamanan Scott Helme , bahwa masalah utama akan muncul dengan otoritas sertifikasi Let's Encrypt, karena saat ini CA paling populer di Internet, dan sertifikat root-nya akan segera rusak. Mengubah root Let's Encrypt .
Sertifikat akhir dan perantara dari otoritas sertifikasi (CA) dikirimkan ke klien dari server, dan sertifikat akar dikirim dari klien sudah punya, jadi dengan kumpulan sertifikat ini seseorang dapat membangun rantai dan mengautentikasi situs web.
Soalnya setiap sertifikat ada masa kadaluwarsanya, setelah itu perlu diganti. Misalnya, mulai 1 September 2020, mereka berencana untuk memberlakukan batasan masa berlaku sertifikat TLS server di browser Safari. .
Artinya kita semua harus mengganti sertifikat server kita setidaknya setiap 12 bulan. Pembatasan ini hanya berlaku untuk sertifikat server; itu tidak berlaku untuk sertifikat CA root.
Sertifikat CA diatur oleh seperangkat aturan yang berbeda dan oleh karena itu memiliki batas validitas yang berbeda. Sangat umum untuk menemukan sertifikat perantara dengan masa berlaku 5 tahun dan sertifikat root dengan masa pakai bahkan 25 tahun!
Biasanya tidak ada masalah dengan sertifikat perantara, karena sertifikat tersebut diberikan ke klien oleh server, yang lebih sering mengubah sertifikatnya sendiri, sehingga dalam prosesnya hanya menggantikan sertifikat perantara. Cukup mudah untuk menggantinya bersama dengan sertifikat server, tidak seperti sertifikat root CA.
Seperti yang telah kami katakan, root CA dibangun langsung ke dalam perangkat klien itu sendiri, ke dalam OS, browser, atau perangkat lunak lainnya. Mengubah root CA berada di luar kendali situs web. Hal ini memerlukan pembaruan pada klien, baik itu pembaruan OS atau perangkat lunak.
Beberapa root CA telah ada sejak lama, kita berbicara sekitar 20-25 tahun. Segera beberapa root CA tertua akan mendekati akhir kehidupan alaminya, waktunya hampir habis. Bagi sebagian besar dari kita, hal ini tidak akan menjadi masalah sama sekali karena CA telah membuat sertifikat root baru dan telah didistribusikan ke seluruh dunia dalam pembaruan OS dan browser selama bertahun-tahun. Namun jika seseorang sudah sangat lama tidak mengupdate OS atau browsernya, itu semacam masalah.
Situasi ini terjadi pada 30 Mei 2020 pukul 10:48:38 GMT. Ini adalah waktu yang tepat dari otoritas sertifikasi Comodo (Sectigo).
Itu digunakan untuk penandatanganan silang guna memastikan kompatibilitas dengan perangkat lama yang tidak memiliki sertifikat root USERTrust baru di tokonya.
Sayangnya, masalah muncul tidak hanya pada browser lawas, namun juga pada klien non-browser yang berbasis OpenSSL 1.0.x, LibreSSL dan . Misalnya saja di dekoder , melayani , di Fortinet, aplikasi Chargify, pada platform .NET Core 2.0 untuk Linux dan .
Diasumsikan bahwa masalah ini hanya akan mempengaruhi sistem lama (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, dll.), karena browser modern dapat menggunakan sertifikat root USERTRust kedua. Namun kenyataannya, kegagalan dimulai pada ratusan layanan web yang menggunakan pustaka OpenSSL 1.0.x dan GnuTLS gratis. Sambungan aman tidak lagi dapat dibuat dengan pesan kesalahan yang menunjukkan bahwa sertifikat sudah kedaluwarsa.
Selanjutnya - Mari Enkripsi
Contoh bagus lainnya dari perubahan root CA yang akan datang adalah otoritas sertifikat Let's Encrypt. Lagi mereka berencana untuk beralih dari rantai Identrust ke rantai Root ISRG mereka sendiri, tapi ini .
βKarena kekhawatiran tentang kurangnya adopsi root ISRG pada perangkat Android, kami memutuskan untuk memindahkan tanggal transisi root asli dari 8 Juli 2019 ke 8 Juli 2020,β kata Letβs Encrypt dalam sebuah pernyataan.
Tanggal tersebut harus ditunda karena masalah yang disebut βpropagasi rootβ, atau lebih tepatnya, kurangnya propagasi root, ketika root CA tidak didistribusikan secara luas ke semua klien.
Let's Encrypt saat ini menggunakan sertifikat perantara bertanda tangan silang yang dirantai ke IdenTrust DST Root CA X3. Sertifikat akar ini diterbitkan kembali pada bulan September 2000 dan habis masa berlakunya pada tanggal 30 September 2021. Sampai saat itu tiba, Let's Encrypt berencana untuk bermigrasi ke ISRG Root X1 yang ditandatangani sendiri.
Root ISRG dirilis pada 4 Juni 2015. Setelah itu, proses persetujuannya sebagai otoritas sertifikasi dimulai, dan berakhir . Mulai saat ini, root CA tersedia untuk semua klien melalui sistem operasi atau pembaruan perangkat lunak. Yang harus Anda lakukan hanyalah menginstal pembaruan.
Tapi itulah masalahnya.
Jika ponsel, TV, atau perangkat lain Anda belum diperbarui selama dua tahun, bagaimana cara mengetahui tentang sertifikat root ISRG Root X1 yang baru? Dan jika Anda tidak menginstalnya pada sistem, maka perangkat Anda akan membatalkan semua sertifikat server Let's Encrypt segera setelah Let's Encrypt beralih ke root baru. Dan di ekosistem Android banyak sekali perangkat ketinggalan jaman yang sudah lama tidak diupdate.
ekosistem Android
Inilah sebabnya Let's Encrypt menunda perpindahan ke root ISRG-nya sendiri dan masih menggunakan perantara yang turun ke root IdenTrust. Namun transisi harus dilakukan bagaimanapun caranya. Dan tanggal perubahan root ditetapkan .
Untuk memeriksa apakah root ISRG X1 diinstal pada perangkat Anda (TV, dekoder, atau klien lain), buka situs pengujian . Jika tidak ada peringatan keamanan yang muncul, biasanya semuanya baik-baik saja.
Let's Encrypt bukan satu-satunya yang menghadapi tantangan untuk bermigrasi ke root baru. Kriptografi di Internet mulai digunakan lebih dari 20 tahun yang lalu, jadi sekaranglah saatnya banyak sertifikat root akan kedaluwarsa.
Pemilik smart TV yang belum memperbarui perangkat lunak Smart TV selama bertahun-tahun mungkin mengalami masalah ini. Misalnya, akar GlobalSign yang baru dirilis pada tahun 2012, dan setelah itu beberapa Smart TV lama tidak dapat membuat rantai ke sana, karena mereka tidak memiliki root CA ini. Secara khusus, klien ini tidak dapat membuat sambungan aman ke situs web bbc.co.uk. Untuk mengatasi masalah ini, administrator BBC harus menggunakan sebuah trik: mereka melalui sertifikat perantara tambahan, menggunakan root lama ΠΈ , yang belum busuk.
www.bbc.co.uk (Daun) GlobalSign ECC OV SSL CA 2018 (Menengah) GlobalSign Root CA - R5 (Menengah) GlobalSign Root CA - R3 (Menengah)
Ini adalah solusi sementara. Masalahnya tidak akan hilang kecuali Anda memperbarui perangkat lunak klien. Smart TV pada dasarnya adalah komputer dengan fungsi terbatas yang menjalankan Linux. Dan tanpa pembaruan, sertifikat akarnya pasti akan rusak.
Ini berlaku untuk semua perangkat, tidak hanya TV. Jika Anda memiliki perangkat yang terhubung ke Internet dan diiklankan sebagai perangkat "pintar", maka masalah sertifikat busuk hampir pasti menyangkut hal tersebut. Jika perangkat tidak diperbarui, penyimpanan root CA akan menjadi usang seiring berjalannya waktu dan pada akhirnya masalah akan muncul. Seberapa cepat masalah terjadi bergantung pada kapan penyimpanan root terakhir diperbarui. Ini mungkin memerlukan waktu beberapa tahun sebelum tanggal rilis sebenarnya perangkat tersebut.
Omong-omong, inilah masalah mengapa beberapa platform media besar tidak dapat menggunakan otoritas sertifikat otomatis modern seperti Let's Encrypt, tulis Scott Helme. Mereka tidak cocok untuk smart TV, dan jumlah root terlalu kecil untuk menjamin dukungan sertifikat pada perangkat lama. Jika tidak, TV tidak akan bisa meluncurkan layanan streaming modern.
Insiden terbaru dengan AddTrust menunjukkan bahwa bahkan perusahaan IT besar pun tidak siap menghadapi kenyataan bahwa sertifikat root akan kedaluwarsa.
Hanya ada satu solusi untuk masalah ini - perbarui. Pengembang perangkat pintar harus menyediakan mekanisme untuk memperbarui perangkat lunak dan sertifikat akar terlebih dahulu. Di sisi lain, tidak menguntungkan bagi produsen untuk memastikan pengoperasian perangkat mereka setelah masa garansi berakhir.
Sumber: www.habr.com