{"id":84766,"date":"2020-06-10T13:43:11","date_gmt":"2020-06-10T11:43:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory"},"modified":"2020-06-10T13:43:11","modified_gmt":"2020-06-10T11:43:11","slug":"problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","title":{"rendered":"Il problema dei certificati radice obsoleti. In arrivo Let’s Encrypt e televisori smart","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Il
\n
\nAffinch\u00e9 il browser possa autenticare un sito web, questo deve presentarsi con una catena di certificati valida. Una catena tipica \u00e8 mostrata sopra e pu\u00f2 contenere pi\u00f9 di un certificato intermedio. Il numero minimo di certificati in una catena valida \u00e8 tre.<\/p>\n

Il certificato radice \u00e8 il cuore dell'autorit\u00e0 di certificazione. \u00c8 letteralmente integrato nel tuo sistema operativo o nel browser ed \u00e8 fisicamente presente sul tuo dispositivo. Non pu\u00f2 essere cambiato dal lato server. \u00c8 necessario un aggiornamento forzato del sistema operativo o del firmware sul dispositivo.<\/p>\n

Lo specialista della sicurezza Scott Helme scrive<\/a><\/noindex>, che i principali problemi sorgeranno per il certificatore Let's Encrypt, poich\u00e9 oggi \u00e8 il certificatore pi\u00f9 popolare su Internet e il suo certificato radice presto \u00e8 programmato per l'8 luglio 2020<\/a><\/noindex>.
\n<\/a><\/noindex>
\nI certificati finali e intermedi dell'autorit\u00e0 di certificazione (CA) vengono consegnati al cliente dal server, e il certificato radice \u00e8 presente presso il cliente gi\u00e0 un<\/i>, quindi con questa collezione di certificati \u00e8 possibile costruire una catena e autenticare il sito web. <\/p>\n

Il problema \u00e8 che ogni certificato ha una scadenza, dopo la quale deve essere sostituito. Ad esempio, dal 1\u00b0 settembre 2020, nel browser Safari si prevede di introdurre una limitazione sulla durata dei certificati TLS server. massimo 398 giorni<\/a><\/noindex>.<\/p>\n

Ci\u00f2 significa che tutti noi dovremo sostituire i certificati server almeno ogni 12 mesi. Questa limitazione si applica solo ai certificati server, essa non<\/i> si applica anche ai certificati radice delle CA.<\/p>\n

I certificati CA sono soggetti a un diverso insieme di regole, pertanto presentano diverse limitazioni sulla durata. Sono molto comuni certificati intermedi con una durata di 5 anni e certificati radice con una vita utile anche di 25 anni! <\/p>\n

Non ci sono generalmente problemi con i certificati intermedi, perch\u00e9 essi vengono forniti al cliente dal server, che cambia molto pi\u00f9 frequentemente il proprio certificato, quindi sostituisce semplicemente l'intermedio durante questa procedura. \u00c8 abbastanza facile sostituirlo insieme al certificato del server, a differenza del certificato radice della CA.<\/p>\n

Come abbiamo gi\u00e0 detto, il CA radice \u00e8 integrato direttamente nel dispositivo client stesso, nel sistema operativo, nel browser o in un altro software. La modifica del CA radice non pu\u00f2 essere controllata dal sito web. Qui \u00e8 necessario un aggiornamento sul client, sia che si tratti di un aggiornamento del sistema operativo o del software.<\/p>\n

Alcuni CA radice esistono gi\u00e0 da molto tempo, parliamo di 20-25 anni. Presto alcuni dei CA radice pi\u00f9 antichi si avvicineranno alla fine della loro vita naturale, il loro tempo \u00e8 quasi scaduto. Per la maggior parte di noi, questo non sar\u00e0 un problema, poich\u00e9 i CA hanno creato nuovi certificati radice e questi sono gi\u00e0 stati distribuiti in tutto il mondo negli aggiornamenti dei sistemi operativi e dei browser. Ma se qualcuno non ha aggiornato il sistema operativo o il browser da molto tempo, questo potrebbe rappresentare un problema.<\/p>\n

Una situazione simile si \u00e8 verificata il 30 maggio 2020 alle 10:48:38 GMT. Questo \u00e8 il momento preciso in cui il certificato radice AddTrust \u00e8 scaduto<\/a><\/noindex> da parte dell'autorit\u00e0 di certificazione Comodo (Sectigo).<\/p>\n

\u00c8 stato utilizzato per la firma incrociata, per garantire la compatibilit\u00e0 con i dispositivi obsoleti, nei quali non \u00e8 presente il nuovo certificato radice USERTrust.<\/p>\n

Sfortunatamente, i problemi sono sorti non solo nei browser obsoleti, ma anche nei client non browser basati su OpenSSL 1.0.x, LibreSSL e GnuTLS<\/a><\/noindex>. Ad esempio, nelle set-top box Roku<\/a><\/noindex>, nel servizio Heroku<\/a><\/noindex>, nelle applicazioni Fortinet, Chargify, sulla piattaforma .NET Core 2.0 su Linux e molti altri<\/a><\/noindex>.<\/p>\n

Si pensava che il problema avrebbe interessato solo i sistemi obsoleti (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, ecc.), poich\u00e9 i browser moderni potrebbero utilizzare un secondo certificato radice USERTRust. Ma in effetti si sono verificati malfunzionamenti in centinaia di servizi web che utilizzavano librerie libere OpenSSL 1.0.x e GnuTLS. La connessione sicura ha smesso di stabilirsi con un errore di scadenza del certificato.<\/p>\n

Il prossimo \u00e8 Let's Encrypt<\/h1>\n

\nUn altro buon esempio del prossimo cambiamento del CA radice \u00e8 il certificatore Let's Encrypt. Ancora nell'aprile 2019<\/a><\/noindex> pianificavano di passare dalla catena Identrust alla propria catena ISRG Root, ma questo non \u00e8 accaduto<\/a><\/noindex>.<\/p>\n

\"Il
\n
\n\"A causa delle preoccupazioni relative alla scarsa diffusione della radice ISRG sui dispositivi Android, abbiamo deciso di posticipare la data di passaggio al nostro radice dal 8 luglio 2019 al 8 luglio 2020\", si legge nella comunicazione ufficiale di Let's Encrypt.<\/p>\n

La data \u00e8 stata posticipata a causa di un problema noto come \u00abpropagazione della radice\u00bb (root propagation), pi\u00f9 precisamente, l'assenza della propagazione della radice, quando la CA primaria non \u00e8 troppo diffusa tra tutti i clienti. <\/p>\n

Attualmente, Let's Encrypt utilizza un certificato intermedio firmato incrociato con catena fino alla radice IdenTrust DST Root CA X3. Questo certificato radice \u00e8 stato emesso nel settembre 2000 e scade il 30 settembre 2021. Fino a quel momento, Let's Encrypt prevede di passare alla propria radice autofirmata ISRG Root X1.<\/p>\n

\"Il
\n
\nLa radice ISRG \u00e8 stata emessa il 4 giugno 2015. Dopo di ci\u00f2, \u00e8 iniziato il processo per la sua approvazione come ente di certificazione, che si \u00e8 concluso il 6 agosto 2018<\/a><\/noindex>. Da quel momento, la CA primaria \u00e8 stata resa disponibile a tutti i clienti tramite un aggiornamento del sistema operativo o del software. Tutto ci\u00f2 che serviva era installare l'aggiornamento. <\/p>\n

Ma questo \u00e8 il problema.<\/p>\n

Se il tuo telefono cellulare, televisore o altro dispositivo non \u00e8 stato aggiornato da due anni, come far\u00e0 a riconoscere il nuovo certificato radice ISRG Root X1? E se non \u00e8 installato nel sistema, tutti i certificati server di Let's Encrypt verranno considerati non validi appena Let's Encrypt passer\u00e0 al nuovo radice. E nell'ecosistema Android ci sono molti dispositivi obsoleti che non sono stati aggiornati da tempo.<\/p>\n

\"Il
\nEcosistema Android<\/i><\/p>\n

Ecco perch\u00e9 Let's Encrypt ha rinviato il passaggio al proprio radice ISRG e continua a utilizzare il collegamento intermedio che scende alla radice IdenTrust. Ma il passaggio dovr\u00e0 avvenire comunque. E la data di cambiamento del radice \u00e8 stata fissata l'8 luglio 2020<\/a><\/noindex>.<\/p>\n

Per verificare che sul tuo dispositivo (televisore, set-top box o altro cliente) sia installata la radice ISRG X1, visita il sito di prova https:\/\/valid-isrgrootx1.letsencrypt.org\/<\/a><\/noindex>. Se non appare alcun avviso di sicurezza, di solito va tutto bene. <\/p>\n

Let's Encrypt non \u00e8 l'unico a dover affrontare il problema del passaggio a un nuovo radice. La crittografia su Internet \u00e8 stata utilizzata poco pi\u00f9 di 20 anni fa, quindi ora si sta avvicinando il momento della scadenza di molti certificati radice.<\/p>\n

Questa problematica pu\u00f2 riguardare i possessori di televisori smart che non aggiornano il software Smart TV da anni. Ad esempio, il nuovo radice GlobalSign R5 Root<\/a><\/noindex> rilasciato nel 2012, e dopo alcuni vecchi Smart TV non possono costruire una catena verso di esso, perch\u00e9 questo CA radice \u00e8 semplicemente assente. In particolare, questi clienti non sono stati in grado di stabilire una connessione sicura con il sito bbc.co.uk. Per risolvere il problema, gli admin della BBC hanno dovuto mettere in atto un trucco: hanno costruito per questi clienti una catena alternativa<\/a><\/noindex> attraverso ulteriori certificati intermedi, coinvolgendo le vecchie radici R3 Root<\/a><\/noindex> e R1 Root<\/a><\/noindex>, che non sono ancora scaduti.<\/p>\n

www.bbc.co.uk (Leaf)\nGlobalSign ECC OV SSL CA 2018 (Intermedio)\nGlobalSign Root CA - R5 (Intermedio)\nGlobalSign Root CA - R3 (Intermedio)<\/pre>\n
\nQuesta \u00e8 una soluzione temporanea. Il problema non scomparir\u00e0 se non si aggiorna il software client. Uno Smart TV \u00e8 fondamentalmente un computer limitato con Linux. E senza aggiornamenti, i suoi certificati radice inevitabilmente scadranno.<\/p>\n
Questo riguarda tutti i dispositivi, non solo i televisori. Se hai qualsiasi dispositivo che si connette a internet e che \u00e8 stato pubblicizzato come un dispositivo 'intelligente', allora il problema dei certificati scaduti riguarder\u00e0 quasi sicuramente anche lui. Se il dispositivo non viene aggiornato, nel tempo il repository CA radice diventer\u00e0 obsoleto, e alla fine il problema verr\u00e0 a galla. Quanto presto si presenter\u00e0 il problema dipende dal momento dell'ultimo aggiornamento del repository radice. Potrebbe essere accaduto anche alcuni anni prima della data reale di rilascio del dispositivo.<\/p>\n
A proposito, questo \u00e8 il problema per cui alcune grandi piattaforme multimediali non possono utilizzare moderni certificatori automatizzati come Let's Encrypt, scrive Scott Helme. Non sono adatti per le smart TV, e il numero di radici \u00e8 troppo limitato per garantire il supporto dei certificati su dispositivi obsoleti. Altrimenti, la TV non sar\u00e0 in grado di avviare i moderni servizi di streaming.<\/p>\n
L'ultimo incidente con AddTrust ha dimostrato che anche le grandi aziende IT possono non essere pronte ad affrontare la scadenza del certificato radice.<\/p>\n
L'unica soluzione al problema \u00e8 l'aggiornamento. Gli sviluppatori di dispositivi intelligenti devono anticipatamente fornire un meccanismo per aggiornare il software e i certificati radice. D'altra parte, i produttori non hanno interesse a garantire il funzionamento dei propri dispositivi una volta scaduta la garanzia.<\/p>\n
\n\"Il
\n<\/a><\/noindex>
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0427\u0442\u043e\u0431\u044b \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u043c\u043e\u0433 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0435\u0431-\u0441\u0430\u0439\u0442, \u0442\u043e\u0442 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0435\u0431\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u0422\u0438\u043f\u0438\u0447\u043d\u0430\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u0430 \u0441\u0432\u0435\u0440\u0445\u0443, \u0432 \u043d\u0435\u0439 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430. \u041c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u0432 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0440\u0430\u0432\u043d\u043e \u0442\u0440\u0451\u043c. \u041a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u2014 \u0441\u0435\u0440\u0434\u0446\u0435 \u0446\u0435\u043d\u0442\u0440\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438. \u041e\u043d \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0432\u0441\u0442\u0440\u043e\u0435\u043d \u0432 \u0432\u0430\u0448\u0443 \u041e\u0421 \u0438\u043b\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440, \u043e\u043d \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0430 \u0432\u0430\u0448\u0435\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435. \u0415\u0433\u043e \u043d\u0435 \u043f\u043e\u043c\u0435\u043d\u044f\u0435\u0448\u044c \u0441\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":84767,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-84766","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Problema dei certificati radice obsoleti. In attesa Let\u2019s Encrypt e smart TV | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0445 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041d\u0430 \u043e\u0447\u0435\u0440\u0435\u0434\u0438 Let\u2019s Encrypt \u0438 \u0443\u043c\u043d\u044b\u0435 \u0442\u0435\u043b\u0435\u0432\u0438\u0437\u043e\u0440\u044b | ProHoster","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-10T11:43:11+00:00","article:modified_time":"2020-06-10T11:43:11+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"84766","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:51:43","updated":"2022-09-29 06:39:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/84766","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=84766"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/84766\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/84767"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=84766"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=84766"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=84766"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}