ProHoster > Blogs > Administrācija > Problēma ar novecojuÅ”iem saknes sertifikātiem. Nākamais ir Let's Encrypt un viedie televizori

Problēma ar novecojuÅ”iem saknes sertifikātiem. Nākamais ir Let's Encrypt un viedie televizori

Problēma ar novecojuÅ”iem saknes sertifikātiem. Nākamais ir Let's Encrypt un viedie televizori

Lai pārlÅ«kprogramma autentificētu vietni, tai tiek parādÄ«ta derÄ«ga sertifikātu ķēde. Tipiska ķēde ir parādÄ«ta iepriekÅ”, un var bÅ«t vairāk nekā viens starpsertifikāts. Minimālais sertifikātu skaits derÄ«gā ķēdē ir trÄ«s.

Saknes sertifikāts ir sertifikācijas iestādes sirds. Tas burtiski ir iebÅ«vēts jÅ«su operētājsistēmā vai pārlÅ«kprogrammā, tas ir fiziski pieejams jÅ«su ierÄ«cē. To nevar mainÄ«t no servera puses. Ir nepiecieÅ”ams piespiedu OS vai programmaparatÅ«ras atjauninājums ierÄ«cē.

DroŔības speciālists Skots Helme raksta, ka galvenās problēmas radÄ«sies ar Let's Encrypt sertifikācijas iestādi, jo Å”odien tā ir vispopulārākā CA internetā, un tās saknes sertifikāts drÄ«z sabojāsies. Saknes Let's Encrypt maiņa plānots 8. gada 2020. jÅ«lijā.

Sertifikācijas iestādes (CA) beigu un starpposma sertifikāti klientam tiek piegādāti no servera, un saknes sertifikāts ir no klienta. jau ir, tāpēc ar Å”o sertifikātu kolekciju var izveidot ķēdi un autentificēt vietni.

Problēma ir tā, ka katram sertifikātam ir derÄ«guma termiņŔ, pēc kura tas ir jānomaina. Piemēram, no 1. gada 2020. septembra viņi plāno ieviest servera TLS sertifikātu derÄ«guma termiņa ierobežojumu pārlÅ«kprogrammā Safari maksimāli 398 dienas.

Tas nozÄ«mē, ka mums visiem bÅ«s jāmaina mÅ«su servera sertifikāti vismaz reizi 12 mēneÅ”os. Å is ierobežojums attiecas tikai uz servera sertifikātiem; tas nē attiecas uz saknes CA sertifikātiem.

CA sertifikātus regulē cits noteikumu kopums, un tāpēc tiem ir atŔķirÄ«gi derÄ«guma ierobežojumi. Ä»oti bieži var atrast starpsertifikātus ar derÄ«guma termiņu 5 gadi un saknes sertifikātus ar kalpoÅ”anas laiku pat 25 gadi!

Ar starpsertifikātiem parasti nav problēmu, jo tos klientam piegādā serveris, kurÅ” pats savu sertifikātu maina daudz biežāk, tātad procesā vienkārÅ”i nomaina starpsertifikātu. AtŔķirÄ«bā no saknes CA sertifikāta to ir diezgan viegli nomainÄ«t kopā ar servera sertifikātu.

Kā jau teicām, saknes CA ir iebÅ«vēta tieÅ”i paŔā klienta ierÄ«cē, operētājsistēmā, pārlÅ«kprogrammā vai citā programmatÅ«rā. Saknes CA maiņa ir ārpus vietnes kontroles. Tam nepiecieÅ”ams klienta atjauninājums neatkarÄ«gi no tā, vai tas ir OS vai programmatÅ«ras atjauninājums.

Dažas saknes CA pastāv jau ļoti ilgu laiku, mēs runājam par 20-25 gadiem. DrÄ«zumā dažas no vecākajām sakņu CA tuvosies savas dabiskās dzÄ«ves beigām, to laiks ir gandrÄ«z beidzies. Lielākajai daļai no mums tā nemaz nebÅ«s problēma, jo CA ir izveidojuÅ”i jaunus saknes sertifikātus un tie ir izplatÄ«ti visā pasaulē OS un pārlÅ«kprogrammu atjauninājumos daudzus gadus. Bet, ja kāds nav atjauninājis savu OS vai pārlÅ«kprogrammu ļoti ilgu laiku, tā ir sava veida problēma.

Å Ä« situācija radās 30. gada 2020. maijā plkst. 10:48:38 GMT. Å is ir precÄ«zs laiks, kad AddTrust saknes sertifikāts ir sapuvis no Comodo sertifikācijas iestādes (Sectigo).

Tas tika izmantots savstarpējai parakstÄ«Å”anai, lai nodroÅ”inātu saderÄ«bu ar mantotajām ierÄ«cēm, kuru veikalā nav jaunā USERTrust saknes sertifikāta.

Diemžēl problēmas radās ne tikai mantotajās pārlÅ«kprogrammās, bet arÄ« klientiem, kas nav pārlÅ«kprogrammas, kuru pamatā ir OpenSSL 1.0.x, LibreSSL un gnuTLS. Piemēram, televizora pierÄ«cēs gads, apkalpoÅ”ana Heroku, Fortinet, Chargify lietojumprogrammās, .NET Core 2.0 platformā Linux un daudzskaitlis otrais.

Tika pieņemts, ka problēma skars tikai mantotās sistēmas (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9 utt.), jo mÅ«sdienu pārlÅ«kprogrammas var izmantot otro USERTRust saknes sertifikātu. Taču patiesÄ«bā kļūmes sākās simtiem tÄ«mekļa pakalpojumu, kas izmantoja bezmaksas OpenSSL 1.0.x un GnuTLS bibliotēkas. DroÅ”u savienojumu vairs nevarēja izveidot ar kļūdas ziņojumu, kas norāda, ka sertifikāts ir novecojis.

Nākamais - Šifrēsim

Vēl viens labs piemērs gaidāmajām saknes CA izmaiņām ir Let's Encrypt sertifikāta iestāde. Vairāk 2019. gada aprÄ«lÄ« viņi plānoja pāriet no Identrust ķēdes uz savu ISRG Root ķēdi, bet tas Nesanāca.

Problēma ar novecojuÅ”iem saknes sertifikātiem. Nākamais ir Let's Encrypt un viedie televizori

"Ņemot vērā bažas par to, ka Android ierÄ«cēs netiek izmantota ISRG sakne, mēs esam nolēmuÅ”i pārvietot sākotnējās saknes pārejas datumu no 8. gada 2019. jÅ«lija uz 8. gada 2020. jÅ«liju," teikts Let's Encrypt paziņojumā.

Datumu nācās pārcelt problēmas dēļ, ko sauc par ā€œsakņu pavairoÅ”anuā€, vai precÄ«zāk, sakņu izplatÄ«bas trÅ«kuma dēļ, kad saknes CA nav ļoti plaÅ”i izplatÄ«ts pa visiem klientiem.

Let's Encrypt paÅ”laik izmanto krusteniski parakstÄ«tu starpposma sertifikātu, kas savienots ar IdenTrust DST Root CA X3. Å is saknes sertifikāts tika izsniegts 2000. gada septembrÄ« un beidzas 30. gada 2021. septembrÄ«. LÄ«dz tam brÄ«dim Let's Encrypt plāno migrēt uz savu paÅ”parakstÄ«to ISRG Root X1.

Problēma ar novecojuÅ”iem saknes sertifikātiem. Nākamais ir Let's Encrypt un viedie televizori

ISRG sakne tika izlaista 4. gada 2015. jÅ«nijā. Pēc tam sākās tās apstiprināŔanas process par sertifikācijas iestādi, kas beidzās 6 Š°Š²Š³ŃƒŃŃ‚Š° 2018 Š³Š¾Š“Š°. No Ŕī brīža saknes CA bija pieejama visiem klientiem, izmantojot operētājsistēmu vai programmatÅ«ras atjauninājumu. Viss, kas jums jādara, bija instalēt atjauninājumu.

Bet tā ir problēma.

Ja jÅ«su mobilais tālrunis, televizors vai cita ierÄ«ce nav atjaunināta divus gadus, kā tas uzzinās par jauno ISRG Root X1 saknes sertifikātu? Un, ja jÅ«s to neinstalējat sistēmā, jÅ«su ierÄ«ce anulēs visus Let's Encrypt servera sertifikātus, tiklÄ«dz Let's Encrypt pārslēgsies uz jaunu sakni. Un Android ekosistēmā ir daudz novecojuÅ”u ierīču, kuras ilgu laiku nav atjauninātas.

Problēma ar novecojuÅ”iem saknes sertifikātiem. Nākamais ir Let's Encrypt un viedie televizori
Android ekosistēma

Tāpēc Let's Encrypt aizkavēja pāreju uz savu ISRG sakni un joprojām izmanto starpproduktu, kas iet uz IdenTrust sakni. Bet pāreja bÅ«s jāveic jebkurā gadÄ«jumā. Un tiek pieŔķirts saknes maiņas datums JÅ«lijs 8 2020 gadiem.

Lai pārbaudÄ«tu, vai jÅ«su ierÄ«cē (televizorā, televizora pierÄ«cē vai citā klientā) ir instalēta ISRG X1 sakne, atveriet testa vietni. https://valid-isrgrootx1.letsencrypt.org/. Ja neparādās droŔības brÄ«dinājums, tad parasti viss ir kārtÄ«bā.

Let's Encrypt nav vienÄ«gais, kas saskaras ar izaicinājumu migrēt uz jaunu sakni. Kriptogrāfija internetā tika sākta izmantot nedaudz vairāk nekā pirms 20 gadiem, tāpēc tagad ir laiks, kad daudziem saknes sertifikātiem drÄ«z beigsies derÄ«guma termiņŔ.

Ar Å”o problēmu var saskarties viedo televizoru Ä«paÅ”nieki, kuri nav atjauninājuÅ”i Smart TV programmatÅ«ru daudzus gadus. Piemēram, jaunā GlobalSign sakne R5 sakne tika izlaists 2012. gadā, un pēc tam, kad daži veci Smart TV nevar izveidot ķēdi, jo tiem vienkārÅ”i nav Ŕīs saknes CA. Jo Ä«paÅ”i Å”ie klienti nevarēja izveidot droÅ”u savienojumu ar vietni bbc.co.uk. Lai atrisinātu problēmu, BBC administratoriem bija jāizmanto triks: viņi Mēs Å”iem klientiem izveidojām alternatÄ«vu ķēdi izmantojot papildu starpsertifikātus, izmantojot vecās saknes R3 sakne Šø R1 sakne, kas vēl nav sapuvuÅ”i.

www.bbc.co.uk (Lapa) GlobalSign ECC OV SSL CA 2018 (Intermediate) GlobalSign Root CA - R5 (Intermediate) GlobalSign Root CA - R3 (Intermediate)

Å is ir pagaidu risinājums. Problēma nepazudÄ«s, ja neatjaunināsiet klienta programmatÅ«ru. Viedais televizors bÅ«tÄ«bā ir ierobežotas funkcionalitātes dators, kurā darbojas Linux. Un bez atjauninājumiem tā saknes sertifikāti neizbēgami kļūs sapuvuÅ”i.

Tas attiecas uz visām ierÄ«cēm, ne tikai uz televizoriem. Ja jums ir kāda ierÄ«ce, kas ir savienota ar internetu un tika reklamēta kā ā€œviedāā€ ierÄ«ce, tad problēma ar sabojātiem sertifikātiem gandrÄ«z noteikti attiecas uz to. Ja ierÄ«ce netiek atjaunināta, saknes CA krātuve laika gaitā novecos, un galu galā problēma parādÄ«sies. Cik ātri problēma rodas, ir atkarÄ«gs no tā, kad pēdējo reizi tika atjaunināts saknes veikals. Tas var bÅ«t vairākus gadus pirms ierÄ«ces faktiskā izlaiÅ”anas datuma.

Starp citu, Ŕī ir problēma, kāpēc dažas lielas mediju platformas nevar izmantot tādas modernas automatizētas sertifikācijas iestādes kā Let's Encrypt, raksta Skots Helme. Tie nav piemēroti viedtelevizoriem, un sakņu skaits ir pārāk mazs, lai garantētu sertifikātu atbalstu mantotajās ierÄ«cēs. Pretējā gadÄ«jumā TV vienkārÅ”i nevarēs palaist modernus straumÄ“Å”anas pakalpojumus.

Pēdējais incidents ar AddTrust parādīja, ka pat lielie IT uzņēmumi nav gatavi tam, ka saknes sertifikāts beidzas.

Problēmai ir tikai viens risinājums - atjaunināŔana. Viedierīču izstrādātājiem jau iepriekÅ” jānodroÅ”ina programmatÅ«ras un saknes sertifikātu atjaunināŔanas mehānisms. Savukārt ražotājiem nav izdevÄ«gi nodroÅ”ināt savu ierīču darbÄ«bu pēc garantijas termiņa beigām.

Problēma ar novecojuÅ”iem saknes sertifikātiem. Nākamais ir Let's Encrypt un viedie televizori


Avots: www.habr.com

Pievieno komentāru