{"id":101490,"date":"2021-10-01T16:22:46","date_gmt":"2021-10-01T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust"},"modified":"2021-10-01T16:22:46","modified_gmt":"2021-10-01T14:22:46","slug":"sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust","title":{"rendered":"Crash in OpenBSD, DragonFly BSD ed Electron a causa della scadenza del certificato radice IdenTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La revoca del certificato radice dell'azienda IdenTrust (DST Root CA X3), utilizzato per la firma incrociata del certificato radice dell'autorit\u00e0 di certificazione Let's Encrypt, ha provocato problemi di verifica dei certificati Let's Encrypt nei progetti che utilizzano versioni obsolete di OpenSSL e GnuTLS. I problemi hanno colpito anche la libreria LibreSSL, i cui sviluppatori non hanno considerato le esperienze passate legate ai malfunzionamenti avvenuti dopo l'obsolescenza del certificato radice AddTrust dell'autorit\u00e0 di certificazione Sectigo (Comodo). <\/p>\n
Ricordiamo che nelle versioni di OpenSSL fino alla branch 1.0.2 inclusa e in GnuTLS fino alla versione 3.6.14, era presente un errore che impediva la corretta elaborazione dei certificati firmati incrociati, nel caso di obsolescenza di uno dei certificati radice coinvolti nella firma, anche se comunque esistevano altre catene di fiducia valide (nel caso di Let's Encrypt, l'obsolescenza del certificato radice IdenTrust impedisce la verifica, anche se nel sistema \u00e8 presente il supporto al certificato radice Let's Encrypt valido fino al 2030). L'essenza dell'errore \u00e8 che le versioni obsolete di OpenSSL e GnuTLS interpretavano il certificato come una catena lineare, mentre secondo RFC 4158 il certificato pu\u00f2 rappresentare un grafo ciclico distribuito orientato con pi\u00f9 ancore di fiducia da considerare. <\/p>\n
Come soluzione alternativa per risolvere il problema, si consiglia di rimuovere dallo storage di sistema (\/etc\/ca-certificates.conf e \/etc\/ssl\/certs) il certificato \u00abDST Root CA X3\u00bb, quindi eseguire il comando \u00abupdate-ca-certificates -f -v\u00bb. In CentOS e RHEL \u00e8 possibile aggiungere il certificato \u00abDST Root CA X3\u00bb alla lista nera: trust dump \u2014filter \u00abpkcs11:id=\u00bb | openssl x509 | sudo tee \/etc\/pki\/ca-trust\/source\/blacklist\/DST-Root-CA-X3.pem sudo update-ca-trust extract <\/ul>\n
Alcuni dei malfunzionamenti riscontrati dopo la scadenza del certificato radice di IdenTrust: <\/p>\n
\n
In OpenBSD, l'utilit\u00e0 syspatch, utilizzata per installare aggiornamenti binari di sistema, ha smesso di funzionare. Il progetto OpenBSD ha rilasciato con urgenza oggi delle patch per i rami 6.8 e 6.9, risolvendo i problemi di verifica dei certificati firmati incrociatamente in LibreSSL, uno dei certificati radice nella catena di fiducia dei quali \u00e8 scaduto. Come soluzione alternativa, \u00e8 consigliato modificare in \/etc\/installurl il protocollo da HTTPS a HTTP (questo non compromette la sicurezza poich\u00e9 gli aggiornamenti vengono ulteriormente verificati tramite firma digitale) oppure scegliere un mirror alternativo (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). \u00c8 anche possibile rimuovere il certificato radice scaduto DST Root CA X3 dal file \/etc\/ssl\/cert.pem.\n
In DragonFly BSD si osservano problemi analoghi nell'uso di DPorts. Quando si avvia il gestore pacchetti pkg, viene restituito un errore di verifica del certificato. La correzione \u00e8 stata aggiunta oggi ai rami master, DragonFly_RELEASE_6_0 e DragonFly_RELEASE_5_8. Come soluzione alternativa, si pu\u00f2 rimuovere il certificato DST Root CA X3.\n
Il processo di verifica dei certificati Let's Encrypt \u00e8 stato compromesso nelle applicazioni basate sulla piattaforma Electron. Il problema \u00e8 stato risolto negli aggiornamenti 12.2.1, 13.5.1, 14.1.0, 15.1.0.\n
In alcune distribuzioni si riscontrano problemi di accesso ai repository dei pacchetti utilizzando il gestore pacchetti APT, legati a vecchie versioni della libreria GnuTLS. Il problema ha colpito Debian 9, che utilizzava un pacchetto GnuTLS non corretto, causando problemi di accesso a deb.debian.org per gli utenti che non hanno aggiornato in tempo (la correzione gnutls28-3.5.8-5+deb9u6 \u00e8 stata proposta il 17 settembre). Come soluzione alternativa, si consiglia di rimuovere DST_Root_CA_X3.crt dal file \/etc\/ca-certificates.conf.\n
Il funzionamento di acme-client nella distribuzione destinata alla creazione di firewall OPNsense \u00e8 stato compromesso; il problema era stato segnalato in anticipo, ma gli sviluppatori non sono riusciti a rilasciare la patch in tempo.\n
Il problema riguardava il pacchetto OpenSSL 1.0.2k in RHEL\/CentOS 7, ma una settimana fa \u00e8 stato rilasciato un aggiornamento del pacchetto ca-certificates-2021.2.50-72.el7_9.noarch per RHEL 7 e CentOS 7, dal quale \u00e8 stato rimosso il certificato IdenTrust, ovvero la manifestazione del problema \u00e8 stata bloccata in anticipo. Un analogo aggiornamento \u00e8 stato pubblicato una settimana fa per Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 e Ubuntu 18.04. Poich\u00e9 gli aggiornamenti sono stati rilasciati in anticipo, il problema con la verifica dei certificati Let's Encrypt ha interessato solo gli utenti delle versioni precedenti di RHEL\/CentOS e Ubuntu, che non installano aggiornamenti regolarmente.\n
Interruzione del processo di verifica dei certificati in grpc.\n
Errore durante la compilazione della piattaforma Cloudflare Pages.\n
Problemi in Amazon Web Services (AWS).\n
Problemi di connessione al DB per gli utenti di DigitalOcean.\n
Interruzione del funzionamento della piattaforma cloud Netlify.\n
Problemi di accesso ai servizi Xero.\n
Errore durante il tentativo di stabilire una connessione TLS al Web API del servizio MailGun.\n
Problemi nelle versioni di macOS e iOS (11, 13, 14) che teoricamente non avrebbero dovuto essere colpite dal problema.\n
Interruzione dei servizi Catchpoint.\n
Errore di verifica dei certificati durante l'accesso all'API di PostMan.\n
Interruzione del funzionamento di Guardian Firewall.\n
Interruzione della pagina di supporto di monday.com.\n
Interruzione della piattaforma Cerb.\n
Errore durante la verifica dell'uptime in Google Cloud Monitoring.\n
Problema con la verifica dei certificati in Cisco Umbrella Secure Web Gateway.\n
Problemi di connessione ai proxy Bluecoat e Palo Alto.\n
Sono sorti problemi di connessione all'OpenStack API in OVHcloud.\n
Problemi di generazione di report in Shopify.\n
Si riscontrano problemi durante le chiamate all'API di Heroku.\n
Interruzione del funzionamento di Ledger Live Manager.\n
Errore di verifica del certificato negli strumenti per sviluppatori di applicazioni Facebook.\n
Problemi in Sophos SG UTM.\n
Problemi di verifica dei certificati in cPanel. <\/ul>\n