AddTrust റൂട്ട് സർട്ടിഫിക്കറ്റ് ഡിപ്രെക്കേഷൻ OpenSSL, GnuTLS സിസ്റ്റങ്ങളിൽ ക്രാഷുകൾക്ക് കാരണമാകുന്നു

മെയ് 30-ന്, റൂട്ട് സർട്ടിഫിക്കറ്റിന്റെ 20 വർഷത്തെ സാധുത കാലഹരണപ്പെട്ടു ആഡ് ട്രസ്റ്റ്, ഏത് അപേക്ഷിച്ചു ഏറ്റവും വലിയ സർട്ടിഫിക്കേഷൻ അതോറിറ്റികളിലൊന്നായ സെക്റ്റിഗോയുടെ (കോമോഡോ) ക്രോസ്-സൈൻ ചെയ്ത സർട്ടിഫിക്കറ്റുകൾ സൃഷ്ടിക്കാൻ. പുതിയ USERTRust റൂട്ട് സർട്ടിഫിക്കറ്റ് അവരുടെ റൂട്ട് സർട്ടിഫിക്കറ്റ് സ്റ്റോറിൽ ചേർത്തിട്ടില്ലാത്ത ലെഗസി ഉപകരണങ്ങളുമായി പൊരുത്തപ്പെടുന്നതിന് ക്രോസ്-സൈനിംഗ് അനുവദിച്ചിരിക്കുന്നു.

സിദ്ധാന്തത്തിൽ, ആഡ്ട്രസ്റ്റ് റൂട്ട് സർട്ടിഫിക്കറ്റ് നിർജ്ജീവമാക്കുന്നത് ലെഗസി സിസ്റ്റങ്ങളുമായുള്ള അനുയോജ്യതയിൽ ഒരു ഇടവേളയിലേക്ക് നയിക്കും (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, മുതലായവ), ക്രോസ്-സിഗ്നേച്ചറിൽ ഉപയോഗിക്കുന്ന രണ്ടാമത്തെ റൂട്ട് സർട്ടിഫിക്കറ്റ് സാധുവായി തുടരുന്നതിനാലും ആധുനിക ബ്രൗസറുകൾ വിശ്വാസ ശൃംഖല പരിശോധിക്കുമ്പോൾ അത് കണക്കിലെടുക്കുന്നതിനാലും. പ്രായോഗികമായി കാണിച്ചു OpenSSL 1.0.x, GnuTLS എന്നിവയെ അടിസ്ഥാനമാക്കിയുള്ളവ ഉൾപ്പെടെ, നോൺ-ബ്രൗസർ TLS ക്ലയന്റുകളിലെ ക്രോസ്-സിഗ്നേച്ചർ സ്ഥിരീകരണത്തിലെ പ്രശ്നങ്ങൾ. AddTrust റൂട്ട് സർട്ടിഫിക്കറ്റുമായി ഒരു വിശ്വാസ ശൃംഖല ലിങ്ക് ചെയ്‌തിരിക്കുന്ന സെക്‌റ്റിഗോ സർട്ടിഫിക്കറ്റാണ് സെർവർ ഉപയോഗിക്കുന്നതെങ്കിൽ, സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടതാണെന്ന് സൂചിപ്പിക്കുന്ന പിശകുള്ള ഒരു സുരക്ഷിത കണക്ഷൻ ഇനി സ്ഥാപിക്കപ്പെടില്ല.

ആധുനിക ബ്രൗസറുകളുടെ ഉപയോക്താക്കൾ ക്രോസ്-സൈൻ ചെയ്‌ത സെക്റ്റിഗോ സർട്ടിഫിക്കറ്റുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ AddTrust റൂട്ട് സർട്ടിഫിക്കറ്റിന്റെ കാലഹരണപ്പെട്ടതായി ശ്രദ്ധിച്ചില്ലെങ്കിൽ, വിവിധ മൂന്നാം കക്ഷി ആപ്ലിക്കേഷനുകളിലും സെർവർ-സൈഡ് ഹാൻഡ്‌ലറുകളിലും പ്രശ്‌നങ്ങൾ പോപ്പ് അപ്പ് ചെയ്യാൻ തുടങ്ങി. ലംഘനം работы ഘടകങ്ങൾ തമ്മിലുള്ള ആശയവിനിമയത്തിനായി എൻക്രിപ്റ്റ് ചെയ്ത ആശയവിനിമയ ചാനലുകൾ ഉപയോഗിക്കുന്ന നിരവധി ഇൻഫ്രാസ്ട്രക്ചറുകൾ.

ഉദാഹരണത്തിന്, ഉണ്ടായിരുന്നു പ്രശ്നങ്ങൾ ചില പാക്കേജ് റിപ്പോസിറ്ററികളിലേക്കുള്ള ആക്‌സസ് ഉപയോഗിച്ച് Debian и Ubuntu (apt ഒരു സർട്ടിഫിക്കറ്റ് സ്ഥിരീകരണ പിശക് നൽകാൻ തുടങ്ങി), "curl", "wget" യൂട്ടിലിറ്റികൾ ഉപയോഗിച്ചുള്ള സ്ക്രിപ്റ്റ് അഭ്യർത്ഥനകൾ പരാജയപ്പെടാൻ തുടങ്ങി, Git ഉപയോഗിക്കുമ്പോൾ പിശകുകൾ നിരീക്ഷിക്കപ്പെട്ടു, ലംഘിച്ചു Roku സ്ട്രീമിംഗ് പ്ലാറ്റ്ഫോം പ്രവർത്തിക്കുന്നു, ഹാൻഡ്ലർമാരെ ഇനി വിളിക്കില്ല വര и ഡാറ്റഡോഗ്, തുടങ്ങി ക്രാഷുകൾ സംഭവിക്കുന്നു Heroku ആപ്പുകളിൽ, നിർത്തി OpenLDAP ക്ലയന്റുകൾ കണക്റ്റുചെയ്‌തു, SMTPS-ലേയ്‌ക്ക് മെയിൽ അയയ്‌ക്കുന്നതിൽ പ്രശ്‌നങ്ങൾ കണ്ടെത്തി, STARTTLS ഉള്ള SMTP സെർവറുകൾ. കൂടാതെ, ഒരു http ക്ലയന്റ് ഉള്ള ഒരു മൊഡ്യൂൾ ഉപയോഗിക്കുന്ന വിവിധ റൂബി, PHP, പൈത്തൺ സ്ക്രിപ്റ്റുകളിൽ പ്രശ്നങ്ങൾ നിരീക്ഷിക്കപ്പെടുന്നു. ബ്രൗസർ പ്രശ്നം ബാധിക്കുന്നു എപ്പിഫാനി, പരസ്യ തടയൽ ലിസ്റ്റുകൾ ലോഡ് ചെയ്യുന്നത് നിർത്തി.

Go ഓഫറുകൾ ഉള്ളതിനാൽ Go പ്രോഗ്രാമുകളെ ഈ പ്രശ്നം ബാധിക്കില്ല സ്വന്തം നടപ്പാക്കൽ ടി.എൽ.എസ്.

അത് അനുമാനിക്കപ്പെട്ടു, പ്രശ്നം പഴയ വിതരണ റിലീസുകളെ ബാധിക്കുന്നു (ഉൾപ്പെടെ Debian 9, Ubuntu 16.04, RHEL 6/7) ഇത് പ്രശ്നമുള്ള OpenSSL ശാഖകൾ ഉപയോഗിക്കുന്നു, പക്ഷേ പ്രശ്നം പ്രകടമായി നിലവിലെ പതിപ്പുകളിൽ APT പാക്കേജ് മാനേജർ പ്രവർത്തിപ്പിക്കുമ്പോഴും Debian ഒപ്പം 10 ഉം Ubuntu ഏപ്രിൽ 18.04/20.04, കാരണം APT GnuTLS ലൈബ്രറി ഉപയോഗിക്കുന്നു. പല TLS/SSL ലൈബ്രറികളും ഒരു സർട്ടിഫിക്കറ്റിനെ ഒരു ലീനിയർ ചെയിനായി പാഴ്‌സ് ചെയ്യുന്നു എന്നതാണ് പ്രശ്‌നം, അതേസമയം RFC 4158 അനുസരിച്ച്, ഒരു സർട്ടിഫിക്കറ്റിന് പരിഗണിക്കേണ്ട ഒന്നിലധികം ട്രസ്റ്റ് ആങ്കറുകളുള്ള ഒരു ഡയറക്‌ട് ഡിസ്ട്രിബ്യൂട്ടഡ് സൈക്ലിക് ഗ്രാഫിനെ പ്രതിനിധീകരിക്കാൻ കഴിയും. ഈ പ്രശ്നം OpenSSL, GnuTLS എന്നിവയിൽ അഭിസംബോധന ചെയ്യുന്നു. ആയിരുന്നു അറിയപ്പെടുന്നത് കുറെ കൊല്ലങ്ങളോളം. OpenSSL-ൽ, ബ്രാഞ്ച് 1.1.1-ലും ഇലും പ്രശ്നം പരിഹരിച്ചു gnuTLS അവശേഷിക്കുന്നു തിരുത്താത്തത്.

ഒരു പരിഹാരമെന്ന നിലയിൽ, സിസ്റ്റം സ്റ്റോറിൽ നിന്ന് "AddTrust External CA റൂട്ട്" സർട്ടിഫിക്കറ്റ് നീക്കം ചെയ്യാൻ നിർദ്ദേശിക്കുന്നു (ഉദാഹരണത്തിന്, /etc/ca-certificates.conf, /etc/ssl/certs എന്നിവയിൽ നിന്ന് നീക്കം ചെയ്യുക, തുടർന്ന് "update-ca റൺ ചെയ്യുക. -സർട്ടിഫിക്കറ്റുകൾ -f -v"), അതിനുശേഷം OpenSSL അതിന്റെ പങ്കാളിത്തത്തോടെ ക്രോസ്-സൈൻ ചെയ്ത സർട്ടിഫിക്കറ്റുകൾ പ്രോസസ്സ് ചെയ്യാൻ തുടങ്ങുന്നു. APT പാക്കേജ് മാനേജർ ഉപയോഗിക്കുമ്പോൾ, നിങ്ങളുടെ സ്വന്തം ഉത്തരവാദിത്തത്തിൽ വ്യക്തിഗത അഭ്യർത്ഥനകൾക്കായി നിങ്ങൾക്ക് സർട്ടിഫിക്കറ്റ് പരിശോധന പ്രവർത്തനരഹിതമാക്കാം (ഉദാഹരണത്തിന്, “apt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false”) .

പ്രശ്നം തടയാൻ ഫെഡോറ и ആർഎൽഇഎൽ ബ്ലാക്ക്‌ലിസ്റ്റിലേക്ക് AddTrust സർട്ടിഫിക്കറ്റ് ചേർക്കാൻ നിർദ്ദേശിക്കുന്നു:

trust dump —filter «pkcs11:id=%AD%BD%98%7A%34%B4%26%F7%FA%C4%26%54%EF%03%BD%E0%24%CB%54%1A;type=cert» \
> /etc/pki/ca-trust/source/blacklist/addtrust-external-root.p11-kit
അപ്ഡേറ്റ്-ca-ട്രസ്റ്റ് എക്സ്ട്രാക്റ്റ്

എന്നാൽ ഈ രീതി പ്രവർത്തിക്കുന്നില്ല GnuTLS-നായി (ഉദാഹരണത്തിന്, wget യൂട്ടിലിറ്റി പ്രവർത്തിപ്പിക്കുമ്പോൾ ഒരു സർട്ടിഫിക്കറ്റ് സ്ഥിരീകരണ പിശക് ദൃശ്യമാകുന്നത് തുടരുന്നു).

സെർവർ വശത്ത് നിങ്ങൾക്ക് കഴിയും മാറ്റാൻ ഓർഡർ ക്ലയന്റിലേക്ക് സെർവർ അയച്ച ട്രസ്റ്റ് ചെയിനിലെ സർട്ടിഫിക്കറ്റുകൾ ലിസ്റ്റ് ചെയ്യുന്നു ("AddTrust External CA Root" എന്നതുമായി ബന്ധപ്പെട്ട സർട്ടിഫിക്കറ്റ് ലിസ്റ്റിൽ നിന്ന് നീക്കം ചെയ്താൽ, ക്ലയന്റിന്റെ സ്ഥിരീകരണം വിജയകരമാകും). ഒരു പുതിയ വിശ്വാസ ശൃംഖല പരിശോധിക്കുന്നതിനും സൃഷ്ടിക്കുന്നതിനും, നിങ്ങൾക്ക് സേവനം ഉപയോഗിക്കാം whatsmychaincert.com. സെക്റ്റിഗോയും നൽകിയത് ഇതര ക്രോസ്-സൈൻഡ് ഇന്റർമീഡിയറ്റ് സർട്ടിഫിക്കറ്റ് "AAA സർട്ടിഫിക്കറ്റ് സേവനങ്ങൾ“, ഇത് 2028 വരെ സാധുതയുള്ളതും OS-ന്റെ പഴയ പതിപ്പുകളുമായി അനുയോജ്യത നിലനിർത്തുകയും ചെയ്യും.

കൂട്ടിച്ചേർക്കൽ: പ്രശ്നവും പ്രോയവ്ലിയേറ്റ്സ്യ LibreSSL-ൽ.

അവലംബം: opennet.ru