{"id":83443,"date":"2020-05-31T13:42:09","date_gmt":"2020-05-31T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls"},"modified":"2020-05-31T13:42:09","modified_gmt":"2020-05-31T11:42:09","slug":"ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","title":{"rendered":"L'obsolescenza del certificato radice AddTrust ha portato a malfunzionamenti nei sistemi con OpenSSL e GnuTLS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Il 30 maggio \u00e8 scaduto il termine di 20 anni per la validit\u00e0 del certificato radice AddTrust<\/a><\/noindex>, che veniva utilizzato<\/a><\/noindex> per la creazione di una firma incrociata (cross-signed) nei certificati di uno dei pi\u00f9 grandi enti certificatori, Sectigo (Comodo). La firma incrociata consentiva di garantire la compatibilit\u00e0 con i dispositivi obsoleti, i cui magazzini di certificati radice non avevano ricevuto il nuovo certificato radice USERTrust. <\/p>\n

\"L'obsolescenza<\/a><\/noindex><\/center><\/p>\n

Teoricamente, la scadenza del certificato radice AddTrust avrebbe dovuto comportare solo la perdita di compatibilit\u00e0 con sistemi obsoleti (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, ecc.), poich\u00e9 il secondo certificato radice, utilizzato nella firma incrociata, rimane valido e i browser moderni lo considerano nella verifica della catena di fiducia. In pratica sono emerse<\/a><\/noindex> problematiche durante la verifica della firma incrociata nei client TLS che non utilizzano i browser, tra cui quelli basati su OpenSSL 1.0.x e GnuTLS. La connessione sicura ha smesso di essere stabilita con un messaggio di errore riguardo la scadenza del certificato, se sul server viene utilizzato un certificato Sectigo, collegato tramite catena di fiducia al certificato radice AddTrust.<\/p>\n

Se gli utenti dei browser moderni non hanno notato la scadenza del certificato radice AddTrust durante l'elaborazione dei certificati firmati in modo incrociato da Sectigo, vari applicativi di terze parti e gestori server hanno iniziato a mostrare problemi, portando a a malfunzionamenti<\/a><\/noindex> interruzioni del funzionamento<\/a><\/noindex> di molte infrastrutture che utilizzano canali di comunicazione crittografati per l'interazione tra i componenti. <\/p>\n

Ad esempio, si sono verificati problemi problemi<\/a><\/noindex> con accesso a alcuni repository di pacchetti in Debian e Ubuntu (apt ha iniziato a restituire un errore di verifica del certificato), si verificano errori durante l'accesso da script utilizzando gli strumenti \u00abcurl\u00bb e \u00abwget\u00bb, si osservano errori nell'uso di Git, \u00e8 stata compromessa<\/a><\/noindex> la funzionalit\u00e0 della piattaforma di streaming Roku, hanno smesso di attivarsi i gestori Stripe<\/a><\/noindex> e DataDog<\/a><\/noindex>, sono iniziati i crash<\/a><\/noindex> nelle applicazioni Heroku, non si sono<\/a><\/noindex> collegati i client OpenLDAP, si sono riscontrati problemi nell'invio di email ai server SMTPS e SMTP con STARTTLS. Inoltre, si evidenziano problemi in vari script Ruby, PHP e Python che utilizzano moduli con client http. Tra i browser, il problema i processori AMD, per i quali non si manifesta il vettore di attacco principale. I metodi di mitigazione gi\u00e0 implementati contro le vulnerabilit\u00e0 Spectre e Meltdown non proteggono dall'attacco SWAPGS utilizzando processori Intel, ma sono gi\u00e0 state proposte delle patch per Linux, ChromeOS, Android e Windows.<\/a><\/noindex> Epiphany, in cui non si caricano pi\u00f9 le liste di blocco della pubblicit\u00e0.<\/p>\n

I programmi scritti in Go non sono soggetti al problema, poich\u00e9 in Go viene fornita una propria implementazione<\/a><\/noindex> di TLS.<\/p>\n

Si presume<\/a><\/noindex>, il problema riguarda le vecchie versioni dei pacchetti (inclusi Debian 9, Ubuntu 16.04, RHEL 6\/7<\/a><\/noindex>) in cui sono presenti le ramificazioni problematiche di OpenSSL, ma il problema si \u00e8 manifestato<\/a><\/noindex> anche durante l'utilizzo del gestore di pacchetti APT nelle versioni attuali di Debian 10 e Ubuntu 18.04\/20.04, poich\u00e9 APT utilizza la libreria GnuTLS. Il punto cruciale del problema \u00e8 che molte librerie TLS\/SSL interpretano il certificato come una catena lineare, mentre secondo l'RFC 4158 un certificato pu\u00f2 rappresentare un grafo ciclico diretto distribuito con diversi ancoraggi di fiducia che devono essere presi in considerazione. Questa mancanza in OpenSSL e GnuTLS era<\/a><\/noindex> reso noto<\/a><\/noindex> \u00e8 nota da molti anni<\/a><\/noindex>. In OpenSSL il problema \u00e8 stato risolto nel ramo 1.1.1, mentre in GnuTLS<\/a><\/noindex> rimane non risolto<\/a><\/noindex>.<\/p>\n

Come soluzione per risolvere il problema, si suggerisce di rimuovere dal deposito di sistema il certificato \u00abAddTrust External CA Root\u00bb (ad esempio, rimuovendo da \/etc\/ca-certificates.conf e \/etc\/ssl\/certs, quindi eseguendo \u00abupdate-ca-certificates -f -v\u00bb), dopo di che OpenSSL inizia a gestire correttamente i certificati firmati incrociati che lo coinvolgono. Possibilmente a proprio rischio, si pu\u00f2 disabilitare la verifica dei certificati per alcune richieste utilizzando il gestore dei pacchetti APT (ad esempio, \u00abapt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false\u00bb). <\/p>\n

Per bloccare il problema in Fedora<\/a><\/noindex> e RHEL<\/a><\/noindex> si consiglia di inserire il certificato AddTrust nella blacklist:<\/p>\n

trust dump \u2014filter \u00abpkcs11:id=;type=cert\u00bb \\
\n > \/etc\/pki\/ca-trust\/source\/blacklist\/addtrust-external-root.p11-kit
\n update-ca-trust extract<\/p>\n

Ma questo metodo non funzioni<\/a><\/noindex> per GnuTLS (ad esempio, continua a mostrare un errore di verifica del certificato quando si utilizza l'utility wget).<\/p>\n

Sul lato del server \u00e8 possibile modificare<\/a><\/noindex> l'ordine<\/a><\/noindex> elenco dei certificati nella catena di fiducia inviati dal server al client (se il certificato associato a \u00abAddTrust External CA Root\u00bb viene rimosso dall'elenco, la verifica da parte del client avr\u00e0 successo). Per la verifica e la generazione di una nuova catena di fiducia \u00e8 possibile utilizzare il servizio whatsmychaincert.com<\/a><\/noindex>. Anche Sectigo ha fornito<\/a><\/noindex> certificato intermedio firmato incrociato alternativo \u00abAAA Certificate Services<\/a><\/noindex>\u00bb, che sar\u00e0 valido fino al 2028 e permetter\u00e0 di mantenere la compatibilit\u00e0 con le versioni precedenti dei sistemi operativi.<\/p>\n

Nota: Il problema \u00e8 presente anche si manifesta<\/a><\/noindex> in LibreSSL.<\/p>\n

<\/a><\/noindex><\/p>\n

Fonte: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438 (cross-signed) \u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u0445 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0438\u0445 \u0446\u0435\u043d\u0442\u0440\u043e\u0432 Sectigo (Comodo). \u041f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u043c\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0432 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0435 \u0431\u044b\u043b \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 USERTRust. \u0422\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0432\u0435\u0441\u0442\u0438 \u043b\u0438\u0448\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":83444,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-83443","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Il decadimento del certificato radice AddTrust ha causato malfunzionamenti nei sistemi con OpenSSL e GnuTLS | ProHoster","description":"Il 30 maggio \u00e8 scaduto il certificato radice AddTrust, che aveva una validit\u00e0 di 20 anni","canonical_url":"https:\/\/prohoster.info\/it\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u043f\u0440\u0438\u0432\u0435\u043b\u043e \u043a \u0441\u0431\u043e\u044f\u043c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u0441 OpenSSL \u0438 GnuTLS | ProHoster","og:description":"30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439","og:url":"https:\/\/prohoster.info\/it\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-31T11:42:09+00:00","article:modified_time":"2020-05-31T11:42:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"83443","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:17:29","updated":"2022-09-28 18:33:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/83443","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=83443"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/83443\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/83444"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=83443"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=83443"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=83443"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}