{"id":83443,"date":"2020-05-31T13:42:09","date_gmt":"2020-05-31T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls"},"modified":"2020-05-31T13:42:09","modified_gmt":"2020-05-31T11:42:09","slug":"ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","title":{"rendered":"L'obsolescenza del certificato radice AddTrust ha causato malfunzionamenti nei sistemi con OpenSSL e GnuTLS.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Il 30 maggio \u00e8 scaduto il periodo di validit\u00e0 di 20 anni del certificato radice AddTrust<\/a><\/noindex>, che si usava<\/a><\/noindex> per la generazione di una firma incrociata (cross-signed) nei certificati di uno dei pi\u00f9 grandi centri di certificazione, Sectigo (Comodo). La firma incrociata garantiva la compatibilit\u00e0 con i dispositivi obsoleti, nel cui archivio dei certificati radice non era stato aggiunto il nuovo certificato radice USERTrust. <\/p>\n

\"L'obsolescenza<\/a><\/noindex><\/center><\/p>\n

Teoricamente, la scadenza del certificato radice AddTrust avrebbe dovuto causare solo una perdita di compatibilit\u00e0 con i sistemi obsoleti (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, ecc.), poich\u00e9 il secondo certificato radice utilizzato nella firma incrociata rimane attivo e i moderni browser lo considerano nella verifica della catena di fiducia. Nella pratica sono emersi<\/a><\/noindex> problematiche nella verifica della firma incrociata in client TLS che non utilizzano browser, inclusi quelli basati su OpenSSL 1.0.x e GnuTLS. La connessione sicura ha smesso di stabilirsi, restituendo un errore di scadenza del certificato, se sul server viene utilizzato un certificato Sectigo collegato alla catena di fiducia con il certificato radice AddTrust.<\/p>\n

Se gli utenti dei moderni browser non hanno notato la scadenza del certificato radice AddTrust durante l'elaborazione dei certificati firmati incrociati Sectigo, in varie applicazioni di terze parti e gestori server hanno iniziato a sorgere problemi, portando a violazione<\/a><\/noindex> malfunzionamenti<\/a><\/noindex> di molte infrastrutture che utilizzano canali crittografati per l'interazione tra i componenti. <\/p>\n

Ad esempio, sono emersi i problemi<\/a><\/noindex> con accesso ad alcuni repository di pacchetti in Debian e Ubuntu (apt inizia a restituire un errore di verifica del certificato), le chiamate da script tramite gli strumenti \u00abcurl\u00bb e \u00abwget\u00bb stanno fallendo, si osservano errori nell'uso di Git, \u00e8 stata compromessa<\/a><\/noindex> la funzionalit\u00e0 della piattaforma di streaming Roku, i gestori di eventi hanno smesso di attivarsi, Stripe<\/a><\/noindex> e DataDog<\/a><\/noindex>sono iniziate a verificarsi interruzioni<\/a><\/noindex> nelle applicazioni Heroku, hanno smesso<\/a><\/noindex> di connettersi i client OpenLDAP, si sono verificati problemi con l'invio di email ai server SMTPS e SMTP con STARTTLS. Inoltre, ci sono problemi in vari script Ruby, PHP e Python, che utilizzano un modulo con un client http. Nei browser, il problema riguarda la<\/a><\/noindex> Epiphany, in cui le liste di blocco pubblicitarie non si caricano pi\u00f9.<\/p>\n

Le applicazioni scritte in Go non sono soggette al problema, poich\u00e9 in Go \u00e8 proposta implementazione proprietaria<\/a><\/noindex> TLS.<\/p>\n

Si presumeva<\/a><\/noindex>che il problema riguardasse le vecchie versioni delle distribuzioni (inclusi Debian 9, Ubuntu 16.04, RHEL 6\/7<\/a><\/noindex>) in cui vengono utilizzati rami problematici di OpenSSL, ma il problema si \u00e8 manifestato<\/a><\/noindex> anche durante il funzionamento del gestore pacchetti APT nelle versioni attuali di Debian 10 e Ubuntu 18.04\/20.04, poich\u00e9 APT utilizza la libreria GnuTLS. La sostanza del problema \u00e8 che molte librerie TLS\/SSL analizzano il certificato come una catena lineare, mentre secondo l'RFC 4158 il certificato pu\u00f2 rappresentare un grafo ciclico distribuito orientato con pi\u00f9 ancore di fiducia, che devono essere tenute in considerazione. Questa mancanza in OpenSSL e GnuTLS stato<\/a><\/noindex> reso noto<\/a><\/noindex> \u00e8 nota da molti anni.<\/a><\/noindex>In OpenSSL, il problema \u00e8 stato risolto nel ramo 1.1.1, mentre GnuTLS<\/a><\/noindex> rimane non corretta<\/a><\/noindex>.<\/p>\n

come soluzione alternativa si propone di rimuovere dal deposito di sistema il certificato \u00abAddTrust External CA Root\u00bb (ad esempio, rimuovere da \/etc\/ca-certificates.conf e \/etc\/ssl\/certs, e poi eseguire \u00abupdate-ca-certificates -f -v\u00bb), dopo di che OpenSSL inizia a gestire normalmente i certificati firmati incrociati che lo riguardano. Utilizzando il gestore di pacchetti APT, a proprio rischio \u00e8 possibile disattivare la verifica dei certificati per richieste specifiche (ad esempio, \u00abapt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false\u00bb). <\/p>\n

Per bloccare il problema in Fedora<\/a><\/noindex> e RHEL<\/a><\/noindex> si propone di inserire il certificato AddTrust nella lista nera:<\/p>\n

trust dump \u2014filter \u00abpkcs11:id=;type=cert\u00bb \\
\n > \/etc\/pki\/ca-trust\/source\/blacklist\/addtrust-external-root.p11-kit
\n update-ca-trust extract<\/p>\n

Ma questa soluzione non funzioni<\/a><\/noindex> non funziona per GnuTLS (ad esempio, continua a restituire un errore di verifica del certificato durante l'esecuzione dello strumento wget).<\/p>\n

Dal lato server \u00e8 possibile cambiare<\/a><\/noindex> l'ordine<\/a><\/noindex> elencazione dei certificati nella catena di fiducia, inviati dal server al client (se il certificato associato a \u00abAddTrust External CA Root\u00bb viene rimosso dall'elenco, la verifica da parte del client avr\u00e0 successo). Per verificare e generare una nuova catena di fiducia \u00e8 possibile utilizzare il servizio whatsmychaincert.com.<\/a><\/noindex>La compagnia Sectigo ha anche fornito<\/a><\/noindex> certificato intermedio alternativo firmato incrociato \u00abAAA Certificate Services<\/a><\/noindex>\u00bb, che sar\u00e0 valido fino al 2028 e permetter\u00e0 di mantenere la compatibilit\u00e0 con le vecchie versioni dei sistemi operativi.<\/p>\n

Inoltre: il problema riguarda anche si manifesta<\/a><\/noindex> LibreSSL.<\/p>\n

<\/a><\/noindex><\/p>\n

Fonte: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438 (cross-signed) \u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u0445 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0438\u0445 \u0446\u0435\u043d\u0442\u0440\u043e\u0432 Sectigo (Comodo). \u041f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u043c\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0432 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0435 \u0431\u044b\u043b \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 USERTRust. \u0422\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0432\u0435\u0441\u0442\u0438 \u043b\u0438\u0448\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":83444,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-83443","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47L'obsolescenza del certificato radice AddTrust ha causato malfunzionamenti nei sistemi con OpenSSL e GnuTLS | ProHoster","description":"Il 30 maggio \u00e8 scaduto il termine di 20 anni del certificato radice AddTrust, che","canonical_url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u043f\u0440\u0438\u0432\u0435\u043b\u043e \u043a \u0441\u0431\u043e\u044f\u043c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u0441 OpenSSL \u0438 GnuTLS | ProHoster","og:description":"30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439","og:url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-31T11:42:09+00:00","article:modified_time":"2020-05-31T11:42:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"83443","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:17:29","updated":"2022-09-28 18:33:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/83443","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=83443"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/83443\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/83444"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=83443"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=83443"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=83443"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}