{"id":101490,"date":"2021-10-01T16:22:46","date_gmt":"2021-10-01T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust"},"modified":"2021-10-01T16:22:46","modified_gmt":"2021-10-01T14:22:46","slug":"sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust","title":{"rendered":"Outages in OpenBSD, DragonFly BSD, and Electron due to the expiration of the IdenTrust root certificate","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La scadenza del certificato root della societ\u00e0 IdenTrust (DST Root CA X3), utilizzato per la firma incrociata del certificato root dell'autorit\u00e0 di certificazione Let's Encrypt, ha portato a problemi nella verifica dei certificati Let's Encrypt nei progetti che utilizzano versioni obsolete di OpenSSL e GnuTLS. Anche la libreria LibreSSL \u00e8 stata coinvolta, poich\u00e9 gli sviluppatori non hanno tenuto conto delle esperienze passate legate ai malfunzionamenti verificatisi dopo la scadenza del certificato root AddTrust dell'autorit\u00e0 di certificazione Sectigo (Comodo). <\/p>\n
Ricordiamo che nelle versioni di OpenSSL fino alla branch 1.0.2 inclusa e in GnuTLS fino alla versione 3.6.14, esisteva un errore che impediva di elaborare correttamente i certificati firmati incrociati nel caso di scadenza di uno dei certificati root coinvolti nella firma, anche se rimanevano altre catene di fiducia valide (nel caso di Let's Encrypt, la scadenza del certificato root IdenTrust impedisce la verifica, anche se nel sistema \u00e8 supportato un certificato root Let's Encrypt attivo fino al 2030). Il problema consiste nel fatto che le versioni obsolete di OpenSSL e GnuTLS interpretavano il certificato come una catena lineare, mentre secondo l'RFC 4158 il certificato pu\u00f2 rappresentare un grafo ciclico distribuito orientato con pi\u00f9 ancore di fiducia da considerare. <\/p>\n
Alcuni dei malfunzionamenti notati dopo la scadenza del certificato radice IdenTrust: <\/p>\n
\n
In OpenBSD, the syspatch utility used for installing binary system updates has stopped working. The OpenBSD project released emergency patches today for branches 6.8 and 6.9, addressing issues with certificate validation in LibreSSL related to cross-signed certificates, one of whose root certificates in the trust chain has expired. As a workaround, it's recommended to switch from HTTPS to HTTP in \/etc\/installurl (this does not pose a security risk, as updates are additionally verified with a digital signature) or choose an alternative mirror (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). You can also remove the expired root certificate DST Root CA X3 from the file \/etc\/ssl\/cert.pem.\n
In DragonFly BSD, similar issues are observed while working with DPorts. When starting the pkg package manager, a certificate verification error occurs. A fix has been added today to the master, DragonFly_RELEASE_6_0, and DragonFly_RELEASE_5_8 branches. As a workaround, you can remove the DST Root CA X3 certificate.\n
Il processo di verifica dei certificati Let's Encrypt \u00e8 stato interrotto nelle applicazioni basate sulla piattaforma Electron. Il problema \u00e8 stato risolto negli aggiornamenti 12.2.1, 13.5.1, 14.1.0, 15.1.0.\n
Alcuni distribuitivi riscontrano problemi di accesso ai repository dei pacchetti utilizzando il gestore di pacchetti APT, legato a versioni obsolete della libreria GnuTLS. Questo problema ha colpito Debian 9, che utilizzava un pacchetto GnuTLS non corretto, causando difficolt\u00e0 di accesso a deb.debian.org per gli utenti che non hanno installato tempestivamente gli aggiornamenti (la patch gnutls28-3.5.8-5+deb9u6 \u00e8 stata proposta il 17 settembre). Come soluzione alternativa, si consiglia di rimuovere DST_Root_CA_X3.crt dal file \/etc\/ca-certificates.conf.\n
Ci sono malfunzionamenti dell'acme-client nel distribuitivo per la creazione di firewall OPNsense; il problema era stato segnalato in anticipo, ma gli sviluppatori non sono riusciti a rilasciare la patch in tempo.\n
Il problema riguardava il pacchetto OpenSSL 1.0.2k in RHEL\/CentOS 7, ma una settimana fa \u00e8 stata rilasciata un'aggiornamento del pacchetto ca-certificates-2021.2.50-72.el7_9.noarch per RHEL 7 e CentOS 7, dal quale \u00e8 stato rimosso il certificato IdenTrust, bloccando cos\u00ec l'insorgere del problema. Un aggiornamento analogo \u00e8 stato pubblicato una settimana fa anche per Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 e Ubuntu 18.04. Poich\u00e9 gli aggiornamenti sono stati rilasciati in anticipo, il problema con la verifica dei certificati Let's Encrypt ha interessato solo gli utenti delle versioni pi\u00f9 vecchie di RHEL\/CentOS e Ubuntu, che non installano regolarmente gli aggiornamenti.\n
Disturbato il processo di verifica dei certificati in grpc.\n
Errore nella costruzione della piattaforma Cloudflare Pages.\n
Problemi in Amazon Web Services (AWS).\n
Problemi di connessione al database per gli utenti di DigitalOcean.\n
Errore nella piattaforma cloud Netlify.\n
Problemi di accesso ai servizi Xero.\n
Errore durante il tentativo di stabilire una connessione TLS all'API del servizio MailGun.\n
Errori nelle versioni macOS e iOS (11, 13, 14), che teoricamente non avrebbero dovuto essere colpite dal problema.\n
Errore nei servizi Catchpoint.\n
Errore di verifica dei certificati durante l'accesso all'API PostMan.\n
Errore nel funzionamento di Guardian Firewall.\n
Problemi con la pagina di supporto di monday.com.\n
Errore nel funzionamento della piattaforma Cerb.\n
Errore durante il controllo dell'uptime su Google Cloud Monitoring.\n
Problema nella verifica dei certificati con Cisco Umbrella Secure Web Gateway.\n
Problemi di connessione con i proxy Bluecoat e Palo Alto.\n
Si sono verificati problemi di connessione all'API OpenStack in OVHcloud.\n
Problemi nella generazione di report in Shopify.\n
Si riscontrano problemi nell'accesso all'API Heroku.\n
Errore nel funzionamento di Ledger Live Manager.\n
Errore di verifica del certificato negli strumenti per sviluppatori di Facebook.\n
Problemi con Sophos SG UTM.\n
Problemi nella verifica dei certificati su cPanel. <\/ul>\n