Problema con i certificati Sectigo dopo il 30 maggio 2020 e metodo di risoluzione.

Sabato 30 maggio 2020 si è verificato un problema poco chiaro con i certificati SSL/TLS del fornitore Sectigo (ex Comodo). I certificati stessi erano completamente in ordine, ma uno dei certificati CA intermedi nella catena, fornito insieme a questi certificati, è scaduto. La situazione non è stata fatale, ma sgradevole: le versioni attuali dei browser non hanno notato nulla, tuttavia gran parte delle automazioni e dei vecchi browser/SO non erano pronti per un simile imprevisto.

Habr non è stato un'eccezione, ecco perché è stato scritto questo manuale/ post mortem.

TL;DR La soluzione è alla fine.

Tralasceremo la teoria di base su PKI, SSL/TLS, https e simili. La meccanica di verifica del certificato di sicurezza del dominio consiste nella creazione di una catena di diversi certificati fino a uno di quelli fidati dal browser o dal sistema operativo, memorizzati nel cosiddetto Trust Store. Questo elenco è distribuito con il sistema operativo, l'ecosistema dell'ambiente di esecuzione del codice o con il browser. Tutti i certificati hanno una scadenza, oltre la quale non vengono considerati attendibili, inclusi i certificati nel trust store. Com'era la catena di fiducia prima del fatidico giorno? Ci aiuterà a capirlo un'utility web. Rapporto SSL di Qualys.

Uno dei certificati 'commerciali' più popolari è il Sectigo Positive SSL (precedentemente noto come Comodo Positive SSL, certificati con questo nome sono ancora in uso); è un cosiddetto certificato DV. DV rappresenta il livello di certificazione più semplice, che implica la verifica dell'accesso alla gestione del dominio da parte dell'ente emittente del certificato. In effetti, DV è l'acronimo di 'domain validation'. A titolo informativo, ci sono anche OV (organization validation) ed EV (extended validation), e il certificato gratuito di Let’s Encrypt è anch'esso DV. Per coloro che, per qualche motivo, non sono soddisfatti del meccanismo ACME, il prodotto Positive SSL è la scelta migliore in termini di rapporto costo/possibilità (il certificato per un dominio costa circa 5-7 dollari all'anno con una durata massima del certificato fino a 2 anni e 3 mesi).

Il certificato standard Sectigo DV (RSA) fino a poco tempo fa veniva fornito con la seguente catena di CA intermedi:

Certificato #1:
  Dati:
    Versione: 3 (0x2)
    Numero di serie:
      7d:5b:51:26:b4:76:ba:11:db:74:16:0b:bc:53:0d:a7
    Algoritmo di firma: sha384WithRSAEncryption
      Emittente: C=US, ST=New Jersey, L=Jersey City, O=The USERTRUST Network, CN=USERTrust RSA Certification Authority
      Validità
        Non prima di: 2 Nov  00:00:00 2018 GMT
        Non dopo : 31 Dic 23:59:59 2030 GMT
      Oggetto: C=GB, ST=Greater Manchester, L=Salford, O=Sectigo Limited, CN=Sectigo RSA Domain Validation Secure Server CA
Certificato #2:
  Dati:
    Versione: 3 (0x2)
    Numero di serie:
      13:ea:28:70:5b:f4:ec:ed:0c:36:63:09:80:61:43:36
    Algoritmo di firma: sha384WithRSAEncryption
      Emittente: C=SE, O=AddTrust AB, OU=AddTrust External TTP Network, CN=AddTrust External CA Root
      Validità
        Non prima di: 30 Mag 10:48:38 2000 GMT
        Non dopo : 30 Mag 10:48:38 2020 GMT
      Oggetto: C=US, ST=New Jersey, L=Jersey City, O=The USERTRUST Network, CN=USERTrust RSA Certification Authority

Qui manca il "terzo certificato", quello self-signed di AddTrust AB, poiché a un certo punto è diventato consuetudine escludere nei chain i certificati radice self-signed. È interessante notare che il CA intermedio emesso da UserTrust di AddTrust ha una scadenza fissata al 30 maggio 2020. Questo non è casuale, poiché per questo CA era prevista una procedura di dismissione. Si pensava che entro il 30 maggio 2020 tutti i trust store avrebbero già visualizzato il certificato cross-signed di UserTrust (sotto il cofano si tratta del medesimo certificato, o meglio, della stessa chiave pubblica) e che la chain, anche con l'inclusione del certificato già non fidato, avrebbe avuto percorsi alternativi e nessuno se ne sarebbe accorto. Tuttavia, i piani si sono scontrati con la realtà, in particolare con il concetto ampio di "legacy systems". In effetti, i proprietari delle versioni attuali dei browser non hanno notato nulla, ma si sono interrotti un gran numero di automazioni basate su curl e librerie ssl/tls di vari linguaggi di programmazione e ambienti di esecuzione. Bisogna capire che molti prodotti non si avvalgono dei meccanismi integrati nel sistema operativo per costruire chain, ma “portano” il proprio trust store con sé. E non sempre contengono ciò che si vorrebbe vedere. CA/Browser Forum. Anche in Linux i pacchetti come ca-certificates non sempre vengono aggiornati. Di conseguenza, tutto sembra a posto, ma ci sono problemi qua e là.

Come si può vedere nella figura 1, sebbene per la maggior parte tutto apparisse normale, per alcuni c'è stato qualche malfunzionamento e il traffico è diminuito notevolmente (linea rossa a sinistra), per poi aumentare di nuovo quando è stato sostituito uno dei certificati chiave (linea a destra). Ci sono stati picchi anche nel mezzo, quando sono stati cambiati altri certificati su cui dipendevano le cose. Poiché per la maggior parte tutto continuava a funzionare più o meno regolarmente (eccetto strani malfunzionamenti come l'impossibilità di caricare immagini su Habrastorage), si può trarre una conclusione indiretta sul numero di clienti legacy e bot su Habr.

Figura 1. Grafico del 'traffico' su Habr.

Nella figura 2 è possibile valutare come si costruisca nella versione attuale dei browser una catena 'alternativa' fino al certificato CA fidato nel browser dell'utente, anche in presenza di un certificato 'scaduto' nella catena. Questo, come ritenuto dallo stesso Sectigo, è il motivo per non fare nulla.

Figura 2. Catena fino al certificato fidato nella versione moderna del browser.

Nel disegno 3, possiamo notare come appaia realmente quando qualcosa va storto e abbiamo un sistema legacy. In questo caso, la connessione HTTPS non viene stabilita e vediamo un errore di tipo «certificate validation failed» o simile.

Figura 3. La catena è diventata non valida poiché il certificato radice e il certificato intermedio firmato sono "scaduti".

Nella figura 4 vediamo già una «soluzione» per i sistemi legacy: c'è un altro certificato intermedio, anzi una «cross-signature» da un altro CA, che è solitamente preinstallato nei sistemi legacy. Questo è ciò che bisogna fare: trovare questo certificato (contrassegnato come Extra download) e sostituire il «scaduto».

Figura 4. Catena alternativa per i sistemi legacy.

A proposito: il problema non ha ottenuto ampia visibilità o discussioni pubbliche, anche a causa dell'eccessiva sicurezza di Sectigo. Ecco, ad esempio, il parere di uno dei fornitori di certificati riguardo a questa situazione: in questa situazione:

Previously they [Sectigo] assured everyone that no issues will be. However, the reality is that some legacy servers/devices are affected.

That is a ridiculous situation. We pointed their attention to the expiring AddTrust RSA/ECC multiple times within a year and each time Sectigo assured us no issues will be.

Io personalmente ho posto la domanda ho discusso questo su Stack Overflow un mese fa, ma a quanto pare il pubblico del progetto non è molto adatto a tali domande, quindi ho dovuto rispondere da solo dopo aver esaminato la questione.

Sectigo ha rilasciato c'è una FAQ su questo, ma è così illeggibile e prolissa che non è possibile utilizzarla. Ecco una citazione che riassume l'intera pubblicazione:

Cosa Devi Fare
Per la maggior parte dei casi d'uso, compresi i certificati per sistemi client o server moderni, non è necessaria alcuna azione, che tu abbia o meno emesso certificati incrociati con la radice AddTrust.

A partire dal 30 aprile 2020: Per i processi aziendali che dipendono da sistemi molto vecchi, Sectigo ha reso disponibile (per impostazione predefinita nei pacchetti di certificati) una nuova radice legacy per il cross-signing, la radice “AAA Certificate Services”. Tuttavia, si prega di prestare estrema cautela riguardo qualsiasi processo che dipenda da sistemi legacy molto vecchi. I sistemi che non hanno ricevuto gli aggiornamenti necessari per supportare radici più recenti come la radice COMODO di Sectigo saranno inevitabilmente privi di altri aggiornamenti di sicurezza essenziali e dovrebbero essere considerati non sicuri. Se desideri ancora effettuare il cross-signing con la radice AAA Certificate Services, contatta direttamente Sectigo.

Mi piace molto l'affermazione 'very old', ovviamente. Ad esempio, curl nel terminale di Ubuntu Linux 18.04 LTS (il nostro sistema operativo di base al momento) con gli ultimi aggiornamenti non vecchi di un mese, è difficile da definire very old, tuttavia non funziona.

La maggior parte dei distributori di certificati ha pubblicato le proprie note con le soluzioni verso sera del 30 maggio. Ad esempio, una soluzione tecnicamente valida da NameCheap (con una descrizione specifica di cosa fare e con bundle CA pronti in archivi zip, ma solo RSA):

Figura 5. Sette passaggi per riparare tutto rapidamente.

Sì un buon articolo di Redhat, ma tutto è piuttosto Legacy e bisogna installare persino un certificato legacy radice da Comodo affinché tutto funzioni.

Soluzione

Vale la pena duplicare la soluzione anche qui. Di seguito ci sono due set di catene per i certificati DV Sectigo (non Comodo!), uno per i certificati RSA abituali, l'altro per i certificati ECC (ECDSA) meno standard (utilizziamo due catene da abbastanza tempo). Con l'ECC è stato più difficile, poiché la maggior parte delle soluzioni non considera la presenza di tali certificati a causa della loro scarsa diffusione. Alla fine, è stato trovato il certificato intermedio necessario su crt.sh.

Catena per certificati basati sull'algoritmo di chiave RSA. Confronta con la tua catena e nota che solo il certificato inferiore è stato sostituito, mentre quello superiore è rimasto invariato. Li distinguo in condizioni domestiche dai tre ultimi caratteri dei blocchi base64, escluse le lettere "uguale" (in questo caso En8= e 1+V):

# Subject: /C=GB/ST=Greater Manchester/L=Salford/O=Sectigo Limited/CN=Sectigo RSA Domain Validation Secure Server CA
# Algo: RSA, key size: 2048
# Issuer: /C=US/ST=New Jersey/L=Jersey City/O=The USERTRUST Network/CN=USERTrust RSA Certification Authority
# Not valid before: 2018-11-02T00:00:00Z
# Not valid after: 2030-12-31T23:59:59Z
# SHA-1 Fingerprint: 33:E4:E8:08:07:20:4C:2B:61:82:A3:A1:4B:59:1A:CD:25:B5:F0:DB
# SHA-256 Fingerprint: 7F:A4:FF:68:EC:04:A9:9D:75:28:D5:08:5F:94:90:7F:4D:1D:D1:C5:38:1B:AC:DC:83:2E:D5:C9:60:21:46:76
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

# Subject: /C=US/ST=New Jersey/L=Jersey City/O=The USERTRUST Network/CN=USERTrust RSA Certification Authority
# Algo: RSA, key size: 4096
# Issuer: /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services
# Not valid before: 2019-03-12T00:00:00Z
# Not valid after: 2028-12-31T23:59:59Z
# SHA-1 Fingerprint: D8:9E:3B:D4:3D:5D:90:9B:47:A1:89:77:AA:9D:5C:E3:6C:EE:18:4C
# SHA-256 Fingerprint: 68:B9:C7:61:21:9A:5B:1F:01:31:78:44:74:66:5D:B6:1B:BD:B1:09:E0:0F:05:CA:9F:74:24:4E:E5:F5:F5:2B
-----BEGIN CERTIFICATE-----
MIIFgTCCBGmgAwIBAgIQOXJEOvkit1HX02wQ3TE1lTANBgkqhkiG9w0BAQwFADB7
MQswCQYDVQQGEwJHQjEbMBkGA1UECAwSR3JlYXRlciBNYW5jaGVzdGVyMRAwDgYD
VQQHDAdTYWxmb3JkMRowGAYDVQQKDBFDb21vZG8gQ0EgTGltaXRlZDEhMB8GA1UE
AwwYQUFBIENlcnRpZmljYXRlIFNlcnZpY2VzMB4XDTE5MDMxMjAwMDAwMFoXDTI4
MTIzMTIzNTk1OVowgYgxCzAJBgNVBAYTAlVTMRMwEQYDVQQIEwpOZXcgSmVyc2V5
MRQwEgYDVQQHEwtKZXJzZXkgQ2l0eTEeMBwGA1UEChMVVGhlIFVTRVJUUlVTVCBO
ZXR3b3JrMS4wLAYDVQQDEyVVU0VSVHJ1c3QgUlNBIENlcnRpZmljYXRpb24gQXV0
aG9yaXR5MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEAgBJlFzYOw9sI
s9CsVw127c0n00ytUINh4qogTQktZAnczomfzD2p7PbPwdzx07HWezcoEStH2jnG
vDoZtF+mvX2do2NCtnbyqTsrkfjib9DsFiCQCT7i6HTJGLSR1GJk23+jBvGIGGqQ
Ijy8/hPwhxR79uQfjtTkUcYRZ0YIUcuGFFQ/vDP+fmyc/xadGL1RjjWmp2bIcmfb
IWax1Jt4A8BQOujM8Ny8nkz+rwWWNR9XWrf/zvk9tyy29lTdyOcSOk2uTIq3XJq0
tyA9yn8iNK5+O2hmAUTnAU5GU5szYPeUvlM3kHND8zLDU+/bqv50TmnHa4xgk97E
xwzf4TKuzJM7UXiVZ4vuPVb+DNBpDxsP8yUmazNt925H+nND5X4OpWaxKXwyhGNV
icQNwZNUMBkTrNN9N6frXTpsNVzbQdcS2qlJC9/YgIoJk2KOtWbPJYjNhLixP6Q5
D9kCnusSTJV882sFqV4Wg8y4Z+LoE53MW4LTTLPtW//e5XOsIzstAL81VXQJSdhJ
WBp/kjbmUZIO8yZ9HE0XvMnsQybQv0FfQKlERPSZ51eHnlAfV1SoPv10Yy+xUGUJ
5lhCLkMaTLTwJUdZ+gQek9QmRkpQgbLevni3/GcV4clXhB4PY9bpYrrWX1Uu6lzG
KAgEJTm4Diup8kyXHAc/DVL17e8vgg8CAwEAAaOB8jCB7zAfBgNVHSMEGDAWgBSg
EQojPpbxB+zirynvgqV/0DCktDAdBgNVHQ4EFgQUU3m/WqorSs9UgOHYm8Cd8rID
ZsswDgYDVR0PAQH/BAQDAgGGMA8GA1UdEwEB/wQFMAMBAf8wEQYDVR0gBAowCDAG
BgRVHSAAMEMGA1UdHwQ8MDowOKA2oDSGMmh0dHA6Ly9jcmwuY29tb2RvY2EuY29t
L0FBQUNlcnRpZmljYXRlU2VydmljZXMuY3JsMDQGCCsGAQUFBwEBBCgwJjAkBggr
BgEFBQcwAYYYaHR0cDovL29jc3AuY29tb2RvY2EuY29tMA0GCSqGSIb3DQEBDAUA
A4IBAQAYh1HcdCE9nIrgJ7cz0C7M7PDmy14R3iJvm3WOnnL+5Nb+qh+cli3vA0p+
rvSNb3I8QzvAP+u431yqqcau8vzY7qN7Q/aGNnwU4M309z/+3ri0ivCRlv79Q2R+
/czSAaF9ffgZGclCKxO/WIu6pKJmBHaIkU4MiRTOok3JMrO66BQavHHxW/BBC5gA
CiIDEOUMsfnNkjcZ7Tvx5Dq2+UUTJnWvu6rvP3t3O9LEApE9GQDTF1w52z97GA1F
zZOFli9d31kWTz9RvdVFGD/tSo7oBmF0Ixa1DVBzJ0RHfxBdiSprhTEUxOipakyA
vGp4z7h/jnZymQyd/teRCBaho1+V
-----END CERTIFICATE-----

Catena per certificati basati sull'algoritmo di chiave ECC. Analogamente alla catena per RSA, solo il certificato inferiore è stato sostituito, mentre quello superiore è rimasto invariato (in questo caso fmA== e v/c=):

# Subject: /C=GB/ST=Greater Manchester/L=Salford/O=Sectigo Limited/CN=Sectigo ECC Domain Validation Secure Server CA
# Algo: EC secp256r1, key size: 256
# Issuer: /C=US/ST=New Jersey/L=Jersey City/O=The USERTRUST Network/CN=USERTrust ECC Certification Authority
# Not valid before: 2018-11-02T00:00:00Z
# Not valid after: 2030-12-31T23:59:59Z
# SHA-1 Fingerprint: E8:49:90:CB:9B:F8:E3:AB:0B:CA:E8:A6:49:CB:30:FE:4D:C4:D7:67
# SHA-256 Fingerprint: 61:E9:73:75:E9:F6:DA:98:2F:F5:C1:9E:2F:94:E6:6C:4E:35:B6:83:7C:E3:B9:14:D2:24:5C:7F:5F:65:82:5F
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

# Subject: /C=US/ST=New Jersey/L=Jersey City/O=The USERTRUST Network/CN=USERTrust ECC Certification Authority
# Algo: EC secp384r1, key size: 384
# Issuer: /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services
# Not valid before: 2019-03-12T00:00:00Z
# Not valid after: 2028-12-31T23:59:59Z
# SHA-1 Fingerprint: CA:77:88:C3:2D:A1:E4:B7:86:3A:4F:B5:7D:00:B5:5D:DA:CB:C7:F9
# SHA-256 Fingerprint: A6:CF:64:DB:B4:C8:D5:FD:19:CE:48:89:60:68:DB:03:B5:33:A8:D1:33:6C:62:56:A8:7D:00:CB:B3:DE:F3:EA
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Ecco, più o meno è così. Grazie per l'attenzione.

Fonte: habr.com