ການຍົກເລີກການຮັບຮອງໃບຢັ້ງຢືນຮາກຂອງ AddTrust ເຮັດໃຫ້ເກີດຄວາມຜິດພາດໃນລະບົບ OpenSSL ແລະ GnuTLS

ໃນວັນທີ 30 ເດືອນພຶດສະພາ, ໄລຍະເວລາ 20 ປີຂອງໃບຢັ້ງຢືນຮາກໄດ້ຫມົດອາຍຸ AddTrust, ເຊິ່ງ ນຳໃຊ້ ເພື່ອສ້າງໃບຮັບຮອງທີ່ລົງນາມໃນໃບຮັບຮອງຂອງອົງການຢັ້ງຢືນທີ່ໃຫຍ່ທີ່ສຸດແຫ່ງໜຶ່ງ Sectigo (Comodo). ການເຊັນເຂົ້າກັນໄດ້ອະນຸຍາດໃຫ້ເຂົ້າກັນໄດ້ກັບອຸປະກອນເກົ່າທີ່ບໍ່ໄດ້ເພີ່ມໃບຮັບຮອງຮາກ USERTRust ໃໝ່ໃສ່ບ່ອນເກັບໃບຮັບຮອງຮາກຂອງເຂົາເຈົ້າ.

ໃນທາງທິດສະດີ, ການຍົກເລີກໃບຢັ້ງຢືນຮາກຂອງ AddTrust ພຽງແຕ່ຄວນນໍາໄປສູ່ການລະເມີດຄວາມເຂົ້າກັນໄດ້ກັບລະບົບເກົ່າ (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, ແລະອື່ນໆ), ເນື່ອງຈາກວ່າໃບຢັ້ງຢືນຮາກທີສອງທີ່ໃຊ້ໃນລາຍເຊັນຂ້າມຍັງຄົງຢູ່. ຕົວທ່ອງເວັບທີ່ຖືກຕ້ອງແລະທັນສະໄຫມເອົາມັນເຂົ້າໄປໃນບັນຊີໃນເວລາທີ່ການກວດສອບລະບົບຕ່ອງໂສ້ຄວາມໄວ້ວາງໃຈ. ກ່ຽວກັບການປະຕິບັດ ສະ​ແດງ​ໃຫ້​ເຫັນ​ເຖິງ​ ບັນຫາກັບການກວດສອບລາຍເຊັນຂ້າມໃນລູກຄ້າ TLS ທີ່ບໍ່ແມ່ນຕົວທ່ອງເວັບ, ລວມທັງສິ່ງທີ່ອີງໃສ່ OpenSSL 1.0.x ແລະ GnuTLS. ການເຊື່ອມຕໍ່ທີ່ປອດໄພບໍ່ຖືກສ້າງຕັ້ງຂຶ້ນໂດຍມີຂໍ້ຜິດພາດທີ່ຊີ້ໃຫ້ເຫັນວ່າໃບຢັ້ງຢືນແມ່ນລ້າສະໄຫມຖ້າເຄື່ອງແມ່ຂ່າຍກໍາລັງໃຊ້ໃບຢັ້ງຢືນ Sectigo ທີ່ເຊື່ອມຕໍ່ໂດຍລະບົບຕ່ອງໂສ້ຄວາມໄວ້ວາງໃຈກັບໃບຢັ້ງຢືນຮາກ AddTrust.

ຖ້າຜູ້ໃຊ້ຂອງຕົວທ່ອງເວັບທີ່ທັນສະໄຫມບໍ່ໄດ້ສັງເກດເຫັນຄວາມລ້າສະໄຫມຂອງໃບຢັ້ງຢືນຮາກຂອງ AddTrust ໃນເວລາທີ່ການປຸງແຕ່ງໃບຢັ້ງຢືນ Sectigo ຂ້າມເຊັນ, ຫຼັງຈາກນັ້ນບັນຫາຕ່າງໆເລີ່ມປາກົດຢູ່ໃນຄໍາຮ້ອງສະຫມັກຂອງພາກສ່ວນທີສາມແລະຕົວຈັດການດ້ານເຊີຟເວີ, ເຊິ່ງນໍາໄປສູ່ການ. ການລະເມີດ работы ໂຄງສ້າງພື້ນຖານຈໍານວນຫຼາຍທີ່ໃຊ້ຊ່ອງທາງການສື່ສານທີ່ຖືກເຂົ້າລະຫັດເພື່ອປະຕິສໍາພັນລະຫວ່າງອົງປະກອບ.

ຕົວຢ່າງ, ມີ ປະຕິເສດ ດ້ວຍການເຂົ້າເຖິງບາງບ່ອນເກັບມ້ຽນຊຸດໃນ Debian ແລະ Ubuntu (apt ໄດ້ເລີ່ມສ້າງຂໍ້ຜິດພາດໃນການກວດສອບໃບຢັ້ງຢືນ), ການຮ້ອງຂໍຈາກສະຄິບທີ່ໃຊ້ "curl" ແລະ "wget" utilities ເລີ່ມລົ້ມເຫລວ, ຂໍ້ຜິດພາດໄດ້ຖືກສັງເກດເຫັນໃນເວລາໃຊ້ Git, ລະເມີດ ແພລດຟອມສະຕີມ Roku ເຮັດວຽກຢູ່, ໂຕຈັດການບໍ່ໄດ້ຖືກເອີ້ນອີກຕໍ່ໄປ ເສັ້ນດ່າງ и DataDog, ໄດ້ເລີ່ມຕົ້ນ ອຸປະຕິເຫດເກີດຂຶ້ນ ໃນ​ກິດ Heroku​, ຢຸດ ລູກຄ້າ OpenLDAP ເຊື່ອມຕໍ່, ບັນຫາກັບການສົ່ງເມລໄປຫາເຊີບເວີ SMTPS ແລະ SMTP ກັບ STARTTLS ຖືກກວດພົບ. ນອກຈາກນັ້ນ, ບັນຫາຕ່າງໆແມ່ນສັງເກດເຫັນຢູ່ໃນສະຄິບ Ruby, PHP ແລະ Python ທີ່ໃຊ້ໂມດູນທີ່ມີລູກຄ້າ http. ບັນຫາຂອງຕົວທ່ອງເວັບ ມີຜົນກະທົບ Epiphany, ເຊິ່ງຢຸດເຊົາການໂຫຼດລາຍການສະກັດການໂຄສະນາ.

ໂຄງການ Go ບໍ່ໄດ້ຮັບຜົນກະທົບຈາກບັນຫານີ້ເພາະວ່າ Go ສະເຫນີ ການ​ປະ​ຕິ​ບັດ​ຂອງ​ຕົນ​ເອງ​ TLS.

ມັນໄດ້ຖືກສົມມຸດຕິຖານວ່າບັນຫາດັ່ງກ່າວມີຜົນກະທົບຕໍ່ການປ່ອຍການແຈກຢາຍເກົ່າ (ລວມທັງ Debian 9, Ubuntu 16.04, RHEL 6/7) ເຊິ່ງໃຊ້ສາຂາ OpenSSL ທີ່ມີບັນຫາ, ແຕ່ບັນຫາ manifested ຕົວຂອງມັນເອງ ເຊັ່ນດຽວກັນໃນເວລາທີ່ຜູ້ຈັດການຊຸດ APT ກໍາລັງແລ່ນຢູ່ໃນການປ່ອຍປະຈຸບັນຂອງ Debian 10 ແລະ Ubuntu 18.04/20.04, ນັບຕັ້ງແຕ່ APT ໃຊ້ຫ້ອງສະຫມຸດ GnuTLS. ຈຸດສໍາຄັນຂອງບັນຫາແມ່ນວ່າຫ້ອງສະຫມຸດ TLS / SSL ຈໍານວນຫຼາຍວິເຄາະໃບຢັ້ງຢືນເປັນລະບົບຕ່ອງໂສ້ເສັ້ນ, ໃນຂະນະທີ່ອີງຕາມ RFC 4158, ໃບຢັ້ງຢືນສາມາດເປັນຕົວແທນຂອງເສັ້ນວົງວຽນທີ່ແຈກຢາຍໂດຍກົງກັບສະມໍຄວາມໄວ້ວາງໃຈຫຼາຍທີ່ຕ້ອງໄດ້ຮັບການພິຈາລະນາ. ກ່ຽວກັບຂໍ້ບົກພ່ອງນີ້ໃນ OpenSSL ແລະ GnuTLS ມັນແມ່ນ ເປັນທີ່ຮູ້ຈັກ ສໍາ​ລັບ​ເວ​ລາ​ຫຼາຍ​ປີ. ໃນ OpenSSL ບັນຫາໄດ້ຖືກແກ້ໄຂໃນສາຂາ 1.1.1, ແລະໃນ gnuTLS ຍັງຄົງຢູ່ ບໍ່ຖືກແກ້ໄຂ.

ເປັນການແກ້ໄຂ, ແນະນໍາໃຫ້ເອົາໃບຢັ້ງຢືນ “AddTrust External CA Root” ອອກຈາກລະບົບເກັບຮັກສາ (ຕົວຢ່າງ, ເອົາອອກຈາກ /etc/ca-certificates.conf ແລະ /etc/ssl/certs, ແລະຫຼັງຈາກນັ້ນດໍາເນີນການ "update-ca. -certificates -f -v"), ຫຼັງຈາກນັ້ນ OpenSSL ຈະເລີ່ມດໍາເນີນການຕາມປົກກະຕິໃບຢັ້ງຢືນການເຊັນຂ້າມດ້ວຍການມີສ່ວນຮ່ວມຂອງມັນ. ເມື່ອໃຊ້ຕົວຈັດການແພັກເກັດ APT, ທ່ານສາມາດປິດການຢັ້ງຢືນໃບຢັ້ງຢືນສໍາລັບການຮ້ອງຂໍສ່ວນບຸກຄົນໂດຍຄວາມສ່ຽງຂອງທ່ານເອງ (ຕົວຢ່າງ, "apt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false") .

ເພື່ອສະກັດບັນຫາໃນ Fedora и RHEL ມັນໄດ້ຖືກສະເຫນີໃຫ້ເພີ່ມໃບຢັ້ງຢືນ AddTrust ໃສ່ບັນຊີດໍາ:

trust dump —filter «pkcs11:id=%AD%BD%98%7A%34%B4%26%F7%FA%C4%26%54%EF%03%BD%E0%24%CB%54%1A;type=cert» \
> /etc/pki/ca-trust/source/blacklist/addtrust-external-root.p11-kit
update-ca-trust ສານສະກັດຈາກ

ແຕ່ວິທີການນີ້ ບໍ່ເຮັດວຽກ ສໍາລັບ GnuTLS (ຕົວຢ່າງ, ຄວາມຜິດພາດການຢັ້ງຢືນໃບຢັ້ງຢືນຍັງສືບຕໍ່ປະກົດຂຶ້ນໃນເວລາທີ່ແລ່ນຜົນປະໂຫຍດ wget).

ໃນດ້ານເຊີຟເວີທີ່ທ່ານສາມາດເຮັດໄດ້ ປ່ຽນແປງ ຄໍາສັ່ງ ລາຍຊື່ໃບຢັ້ງຢືນຢູ່ໃນລະບົບຕ່ອງໂສ້ຄວາມໄວ້ວາງໃຈທີ່ເຊີບເວີສົ່ງໃຫ້ລູກຄ້າ (ຖ້າໃບຢັ້ງຢືນທີ່ກ່ຽວຂ້ອງກັບ "AddTrust External CA Root" ຖືກລຶບອອກຈາກລາຍຊື່, ຫຼັງຈາກນັ້ນການກວດສອບຂອງລູກຄ້າຈະປະສົບຜົນສໍາເລັດ). ເພື່ອກວດສອບແລະສ້າງລະບົບຕ່ອງໂສ້ຄວາມໄວ້ວາງໃຈໃຫມ່, ທ່ານສາມາດນໍາໃຊ້ບໍລິການ whatsmychaicert.com. Sectigo ຍັງ ສະຫນອງໃຫ້ "ການບໍລິການໃບຢັ້ງຢືນ AAA“, ເຊິ່ງຈະໃຊ້ໄດ້ຈົນຮອດປີ 2028 ແລະຈະຮັກສາຄວາມເຂົ້າກັນໄດ້ກັບ OS ລຸ້ນເກົ່າ.

ນອກຈາກນັ້ນ: ບັນຫາຍັງ ປາກົດ ໃນ LibreSSL.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru