IdenTrust റൂട്ട് സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടതിനാൽ OpenBSD, DragonFly BSD, ഇലക്ട്രോൺ എന്നിവയിൽ ക്രാഷുകൾ

ലെറ്റ്സ് എൻക്രിപ്റ്റ് CA റൂട്ട് സർട്ടിഫിക്കറ്റ് ക്രോസ്-സൈൻ ചെയ്യാൻ ഉപയോഗിക്കുന്ന IdenTrust റൂട്ട് സർട്ടിഫിക്കറ്റിൻ്റെ (DST റൂട്ട് CA X3) ഒഴിവാക്കൽ, OpenSSL, GnuTLS എന്നിവയുടെ പഴയ പതിപ്പുകൾ ഉപയോഗിക്കുന്ന പ്രോജക്റ്റുകളിൽ ലെറ്റ്സ് എൻക്രിപ്റ്റ് സർട്ടിഫിക്കറ്റ് പരിശോധനയിൽ പ്രശ്നങ്ങൾ സൃഷ്ടിച്ചു. പ്രശ്‌നങ്ങൾ LibreSSL ലൈബ്രറിയെയും ബാധിച്ചു, സെക്റ്റിഗോ (കോമോഡോ) CA-യുടെ AddTrust റൂട്ട് സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടതിന് ശേഷം ഉണ്ടായ പരാജയങ്ങളുമായി ബന്ധപ്പെട്ട മുൻകാല അനുഭവം അതിൻ്റെ ഡെവലപ്പർമാർ കണക്കിലെടുക്കുന്നില്ല.

ബ്രാഞ്ച് 1.0.2 ഉൾപ്പെടെയുള്ള OpenSSL റിലീസുകളിലും 3.6.14 റിലീസിന് മുമ്പുള്ള GnuTLS-ലും ഒപ്പിടാൻ ഉപയോഗിച്ച റൂട്ട് സർട്ടിഫിക്കറ്റുകളിലൊന്ന് കാലഹരണപ്പെട്ടതാണെങ്കിൽ ക്രോസ്-സൈൻ ചെയ്ത സർട്ടിഫിക്കറ്റുകൾ ശരിയായി പ്രോസസ്സ് ചെയ്യാൻ അനുവദിക്കാത്ത ഒരു ബഗ് ഉണ്ടായിരുന്നു. , മറ്റ് സാധുതയുള്ളവ വിശ്വാസത്തിൻ്റെ ശൃംഖലയിൽ സംരക്ഷിക്കപ്പെട്ടിട്ടുണ്ടെങ്കിലും (Let's Encrypt-ൻ്റെ കാര്യത്തിൽ, IdenTrust റൂട്ട് സർട്ടിഫിക്കറ്റിൻ്റെ കാലഹരണപ്പെടൽ സ്ഥിരീകരണത്തെ തടയുന്നു, സിസ്റ്റത്തിന് Let's Encrypt-ൻ്റെ സ്വന്തം റൂട്ട് സർട്ടിഫിക്കറ്റിന് പിന്തുണയുണ്ടെങ്കിൽ പോലും, 2030 വരെ സാധുതയുണ്ട്). ബഗിൻ്റെ സാരം, OpenSSL, GnuTLS എന്നിവയുടെ പഴയ പതിപ്പുകൾ സർട്ടിഫിക്കറ്റിനെ ഒരു ലീനിയർ ശൃംഖലയായി പാഴ്‌സ് ചെയ്‌തു എന്നതാണ്, അതേസമയം RFC 4158 അനുസരിച്ച്, ഒരു സർട്ടിഫിക്കറ്റിന് ഒന്നിലധികം ട്രസ്റ്റ് ആങ്കറുകളുള്ള ഒരു ഡയറക്‌ട് വിതരണം ചെയ്‌ത സർക്കുലർ ഗ്രാഫിനെ പ്രതിനിധീകരിക്കാൻ കഴിയും, അത് കണക്കിലെടുക്കേണ്ടതുണ്ട്.

പരാജയം പരിഹരിക്കുന്നതിനുള്ള ഒരു പരിഹാരമെന്ന നിലയിൽ, സിസ്റ്റം സ്റ്റോറേജിൽ നിന്ന് "DST റൂട്ട് CA X3" സർട്ടിഫിക്കറ്റ് ഇല്ലാതാക്കാൻ നിർദ്ദേശിക്കുന്നു (/etc/ca-certificates.conf കൂടാതെ /etc/ssl/certs), തുടർന്ന് "update" കമാൻഡ് പ്രവർത്തിപ്പിക്കുക. -ca-സർട്ടിഫിക്കറ്റുകൾ -f -v” "). CentOS-ലും RHEL-ലും നിങ്ങൾക്ക് "DST റൂട്ട് CA X3" സർട്ടിഫിക്കറ്റ് ബ്ലാക്ക്‌ലിസ്റ്റിലേക്ക് ചേർക്കാം: Trust dump —filter “pkcs11:id=%c4%a7%b1%a4%7b%2c%71%fa%db%e1% 4b%90 %75%ff%c4%15%60%85%89%10" | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract

IdenTrust റൂട്ട് സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടതിന് ശേഷം സംഭവിച്ച ചില ക്രാഷുകൾ:

• ഓപ്പൺബിഎസ്ഡിയിൽ, ബൈനറി സിസ്റ്റം അപ്‌ഡേറ്റുകൾ ഇൻസ്റ്റാൾ ചെയ്യാൻ ഉപയോഗിക്കുന്ന സിസ്പാച്ച് യൂട്ടിലിറ്റി പ്രവർത്തിക്കുന്നത് നിർത്തി. ക്രോസ്-സൈൻ ചെയ്ത സർട്ടിഫിക്കറ്റുകൾ പരിശോധിക്കുന്നതിലെ LibreSSL-ലെ പ്രശ്നങ്ങൾ പരിഹരിക്കുന്ന 6.8, 6.9 ബ്രാഞ്ചുകൾക്കുള്ള പാച്ചുകൾ OpenBSD പ്രോജക്റ്റ് ഇന്ന് അടിയന്തിരമായി പുറത്തിറക്കി, അതിൻ്റെ ട്രസ്റ്റ് ശൃംഖലയിലെ റൂട്ട് സർട്ടിഫിക്കറ്റുകളിലൊന്ന് കാലഹരണപ്പെട്ടു. പ്രശ്‌നത്തിനുള്ള ഒരു പരിഹാരമെന്ന നിലയിൽ, /etc/installurl-ൽ HTTPS-ൽ നിന്ന് HTTP-ലേക്ക് മാറാൻ ശുപാർശ ചെയ്യുന്നു (ഇത് സുരക്ഷയെ ഭീഷണിപ്പെടുത്തുന്നില്ല, കാരണം അപ്‌ഡേറ്റുകൾ ഒരു ഡിജിറ്റൽ സിഗ്നേച്ചർ ഉപയോഗിച്ച് പരിശോധിച്ചുറപ്പിച്ചിരിക്കുന്നു) അല്ലെങ്കിൽ ഒരു ഇതര മിറർ തിരഞ്ഞെടുക്കുക (ftp.usa.openbsd. org, ftp.hostserver.de, cdn.openbsd.org). നിങ്ങൾക്ക് /etc/ssl/cert.pem ഫയലിൽ നിന്ന് കാലഹരണപ്പെട്ട DST റൂട്ട് CA X3 റൂട്ട് സർട്ടിഫിക്കറ്റ് നീക്കംചെയ്യാനും കഴിയും.
• DragonFly BSD-യിൽ, DPorts-ൽ പ്രവർത്തിക്കുമ്പോൾ സമാനമായ പ്രശ്നങ്ങൾ നിരീക്ഷിക്കപ്പെടുന്നു. pkg പാക്കേജ് മാനേജർ ആരംഭിക്കുമ്പോൾ, ഒരു സർട്ടിഫിക്കറ്റ് സ്ഥിരീകരണ പിശക് ദൃശ്യമാകുന്നു. മാസ്റ്റർ, DragonFly_RELEASE_6_0, DragonFly_RELEASE_5_8 എന്നീ ശാഖകളിലേക്ക് ഇന്ന് പരിഹാരം ചേർത്തു. ഒരു പരിഹാരമെന്ന നിലയിൽ, നിങ്ങൾക്ക് DST റൂട്ട് CA X3 സർട്ടിഫിക്കറ്റ് നീക്കം ചെയ്യാം.
• ഇലക്‌ട്രോൺ പ്ലാറ്റ്‌ഫോമിനെ അടിസ്ഥാനമാക്കിയുള്ള ആപ്ലിക്കേഷനുകളിൽ ലെറ്റ്സ് എൻക്രിപ്റ്റ് സർട്ടിഫിക്കറ്റുകൾ പരിശോധിക്കുന്ന പ്രക്രിയ തകർന്നു. 12.2.1, 13.5.1, 14.1.0, 15.1.0 അപ്ഡേറ്റുകളിൽ പ്രശ്നം പരിഹരിച്ചു.
• GnuTLS ലൈബ്രറിയുടെ പഴയ പതിപ്പുകളുമായി ബന്ധപ്പെട്ട APT പാക്കേജ് മാനേജർ ഉപയോഗിക്കുമ്പോൾ ചില വിതരണങ്ങൾക്ക് പാക്കേജ് റിപ്പോസിറ്ററികൾ ആക്സസ് ചെയ്യുന്നതിൽ പ്രശ്നങ്ങളുണ്ട്. യഥാസമയം അപ്ഡേറ്റ് ഇൻസ്റ്റാൾ ചെയ്യാത്ത ഉപയോക്താക്കൾക്ക് deb.debian.org ആക്സസ് ചെയ്യുമ്പോൾ പ്രശ്‌നങ്ങളുണ്ടാക്കിയ, പാച്ച് ചെയ്യാത്ത GnuTLS പാക്കേജ് ഉപയോഗിച്ചിരുന്ന പ്രശ്‌നം Debian 9-നെ ബാധിച്ചു (gnutls28-3.5.8-5+deb9u6 ഫിക്സ് ഓഫർ ചെയ്തു. സെപ്റ്റംബർ 17ന്). ഒരു പരിഹാരമെന്ന നിലയിൽ, /etc/ca-certificates.conf ഫയലിൽ നിന്ന് DST_Root_CA_X3.crt നീക്കം ചെയ്യാൻ ശുപാർശ ചെയ്യുന്നു.
• OPNsense ഫയർവാളുകൾ സൃഷ്ടിക്കുന്നതിനുള്ള ഡിസ്ട്രിബ്യൂഷൻ കിറ്റിലെ acme-client-ൻ്റെ പ്രവർത്തനം തടസ്സപ്പെട്ടു, പക്ഷേ, യഥാസമയം ഒരു പാച്ച് റിലീസ് ചെയ്യാൻ ഡവലപ്പർമാർക്ക് കഴിഞ്ഞില്ല.
• പ്രശ്നം RHEL/CentOS 1.0.2-ലെ OpenSSL 7k പാക്കേജിനെ ബാധിച്ചു, എന്നാൽ ഒരാഴ്ച മുമ്പ് ca-certificates-7-7.el2021.2.50_72.noarch പാക്കേജിലേക്കുള്ള ഒരു അപ്‌ഡേറ്റ് RHEL 7, CentOS 9 എന്നിവയ്‌ക്കായി ജനറേറ്റുചെയ്‌തു, അതിൽ നിന്ന് IdenTrust സർട്ടിഫിക്കറ്റ് നീക്കം ചെയ്തു, അതായത്. പ്രശ്നത്തിൻ്റെ പ്രകടനം മുൻകൂട്ടി തടഞ്ഞു. ഉബുണ്ടു 16.04, ഉബുണ്ടു 14.04, ഉബുണ്ടു 21.04, ഉബുണ്ടു 20.04, ഉബുണ്ടു 18.04 എന്നിവയ്‌ക്കായി സമാനമായ ഒരു അപ്‌ഡേറ്റ് ഒരാഴ്ച മുമ്പ് പ്രസിദ്ധീകരിച്ചു. അപ്‌ഡേറ്റുകൾ മുൻകൂട്ടി റിലീസ് ചെയ്‌തതിനാൽ, ലെറ്റ്‌സ് എൻക്രിപ്റ്റ് സർട്ടിഫിക്കറ്റുകൾ പരിശോധിക്കുന്നതിലെ പ്രശ്‌നം, പതിവായി അപ്‌ഡേറ്റുകൾ ഇൻസ്റ്റാൾ ചെയ്യാത്ത RHEL/CentOS, Ubuntu എന്നിവയുടെ പഴയ ബ്രാഞ്ചുകളിലെ ഉപയോക്താക്കളെ മാത്രം ബാധിച്ചു.
• grpc-യിലെ സർട്ടിഫിക്കറ്റ് പരിശോധനാ പ്രക്രിയ തകർന്നിരിക്കുന്നു.
• ക്ലൗഡ്ഫ്ലെയർ പേജുകളുടെ പ്ലാറ്റ്ഫോം നിർമ്മാണം പരാജയപ്പെട്ടു.
• ആമസോൺ വെബ് സേവനങ്ങളിലെ (AWS) പ്രശ്നങ്ങൾ.
• ഡിജിറ്റൽ ഓഷ്യൻ ഉപയോക്താക്കൾക്ക് ഡാറ്റാബേസുമായി ബന്ധിപ്പിക്കുന്നതിൽ പ്രശ്‌നങ്ങളുണ്ട്.
• Netlify ക്ലൗഡ് പ്ലാറ്റ്‌ഫോം തകർന്നു.
• സീറോ സേവനങ്ങൾ ആക്സസ് ചെയ്യുന്നതിൽ പ്രശ്നങ്ങൾ.
• MailGun സേവനത്തിൻ്റെ വെബ് API-യിലേക്ക് TLS കണക്ഷൻ സ്ഥാപിക്കാനുള്ള ശ്രമം പരാജയപ്പെട്ടു.
• സൈദ്ധാന്തികമായി പ്രശ്നം ബാധിക്കാൻ പാടില്ലാത്ത MacOS, iOS (11, 13, 14) പതിപ്പുകളിലെ ക്രാഷുകൾ.
• ക്യാച്ച്‌പോയിൻ്റ് സേവനങ്ങൾ പരാജയപ്പെട്ടു.
• PostMan API ആക്സസ് ചെയ്യുമ്പോൾ സർട്ടിഫിക്കറ്റുകൾ പരിശോധിക്കുന്നതിൽ പിശക്.
• ഗാർഡിയൻ ഫയർവാൾ തകർന്നു.
• monday.com പിന്തുണാ പേജ് തകർന്നിരിക്കുന്നു.
• സെർബ് പ്ലാറ്റ്‌ഫോം തകർന്നു.
• Google ക്ലൗഡ് മോണിറ്ററിംഗിൽ പ്രവർത്തന സമയ പരിശോധന പരാജയപ്പെട്ടു.
• Cisco Umbrella Secure Web Gateway-ൽ സർട്ടിഫിക്കറ്റ് പരിശോധനയുമായി ബന്ധപ്പെട്ട പ്രശ്നം.
• ബ്ലൂകോട്ട്, പാലോ ആൾട്ടോ പ്രോക്സികളുമായി ബന്ധിപ്പിക്കുന്നതിൽ പ്രശ്നങ്ങൾ.
• OpenStack API-ലേക്ക് കണക്‌റ്റ് ചെയ്യുന്നതിൽ OVHcloud-ന് പ്രശ്‌നങ്ങളുണ്ട്.
• Shopify-യിൽ റിപ്പോർട്ടുകൾ സൃഷ്‌ടിക്കുന്നതിൽ പ്രശ്‌നങ്ങൾ.
• Heroku API ആക്‌സസ് ചെയ്യുന്നതിൽ പ്രശ്‌നങ്ങളുണ്ട്.
• ലെഡ്ജർ ലൈവ് മാനേജർ ക്രാഷായി.
• Facebook ആപ്പ് ഡെവലപ്പർ ടൂളുകളിൽ സർട്ടിഫിക്കറ്റ് സ്ഥിരീകരണ പിശക്.
• സോഫോസ് എസ്ജി യുടിഎമ്മിലെ പ്രശ്നങ്ങൾ.
• cPanel-ലെ സർട്ടിഫിക്കറ്റ് പരിശോധനയിലെ പ്രശ്നങ്ങൾ.

അവലംബം: opennet.ru