AddTrust रूट प्रमाणपत्र नापसंत झाल्यामुळे OpenSSL आणि GnuTLS प्रणालींवर क्रॅश होतात

30 मे रोजी, मूळ प्रमाणपत्राचा 20 वर्षांचा वैधता कालावधी संपला जोडा ट्रस्ट, जे लागू केले Sectigo (Comodo) या सर्वात मोठ्या प्रमाणन प्राधिकरणांपैकी एकाचे क्रॉस-साइन इन प्रमाणपत्रे व्युत्पन्न करण्यासाठी. नवीन USERTRust रूट प्रमाणपत्र त्यांच्या रूट प्रमाणपत्र स्टोअरमध्ये जोडलेले नसलेल्या लेगेसी डिव्हाइसेससह सुसंगततेसाठी क्रॉस-साइनिंगला अनुमती आहे.

सैद्धांतिकदृष्ट्या, AddTrust रूट प्रमाणपत्र संपुष्टात आणण्यामुळे केवळ लीगेसी सिस्टम (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, इ.) सह सुसंगततेचे उल्लंघन होऊ शकते, कारण क्रॉस-स्वाक्षरीमध्ये वापरलेले दुसरे रूट प्रमाणपत्र शिल्लक राहते. ट्रस्टची साखळी तपासताना वैध आणि आधुनिक ब्राउझर ते विचारात घेतात. सरावावर दर्शविले OpenSSL 1.0.x आणि GnuTLS वर आधारित नसलेल्या ब्राउझर TLS क्लायंटमध्ये क्रॉस-स्वाक्षरी पडताळणीसह समस्या. जर सर्व्हर AddTrust रूट प्रमाणपत्राशी ट्रस्टच्या साखळीद्वारे लिंक केलेले Sectigo प्रमाणपत्र वापरत असेल तर प्रमाणपत्र कालबाह्य झाल्याचे दर्शविणाऱ्या त्रुटीसह सुरक्षित कनेक्शन यापुढे स्थापित केले जाणार नाही.

जर आधुनिक ब्राउझरच्या वापरकर्त्यांनी क्रॉस-साइन केलेल्या सेक्टिगो प्रमाणपत्रांवर प्रक्रिया करताना AddTrust रूट प्रमाणपत्राची अप्रचलितता लक्षात घेतली नाही, तर विविध तृतीय-पक्ष अनुप्रयोग आणि सर्व्हर-साइड हँडलर्समध्ये समस्या येऊ लागल्या, ज्यामुळे उल्लंघन работы अनेक पायाभूत सुविधा ज्या घटकांमधील परस्परसंवादासाठी एनक्रिप्टेड कम्युनिकेशन चॅनेल वापरतात.

उदाहरणार्थ, तेथे होते проблемы डेबियन आणि उबंटू मधील काही पॅकेज रेपॉजिटरीजमध्ये प्रवेशासह (प्रमाणपत्र पडताळणी त्रुटी निर्माण करण्यास सुरवात झाली), “कर्ल” आणि “wget” उपयुक्तता वापरणाऱ्या स्क्रिप्ट्सच्या विनंत्या अयशस्वी होऊ लागल्या, Git वापरताना त्रुटी आढळल्या, उल्लंघन केले Roku स्ट्रीमिंग प्लॅटफॉर्म कार्यरत आहे, हँडलरला यापुढे कॉल केले जात नाही प्रकार и डेटाडॉग, सुरू केले क्रॅश होतात Heroku अॅप्समध्ये, थांबवले OpenLDAP क्लायंट कनेक्ट होतात, SMTPS आणि SMTP सर्व्हरला STARTTLS सह मेल पाठवण्यात समस्या आढळतात. याव्यतिरिक्त, HTTP क्लायंटसह मॉड्यूल वापरणार्‍या विविध रुबी, पीएचपी आणि पायथन स्क्रिप्टमध्ये समस्या आढळतात. ब्राउझर समस्या प्रभावित करते एपिफनी, ज्याने जाहिरात ब्लॉकिंग सूची लोड करणे थांबवले.

गो प्रोग्राम या समस्येमुळे प्रभावित होत नाहीत कारण गो ऑफर करते स्वतःची अंमलबजावणी TLS.

असे गृहीत धरले होतेकी समस्या जुन्या वितरण प्रकाशनांना प्रभावित करते (डेबियन 9, उबंटू 16.04 सह, RHEL 6/7) जे समस्याप्रधान OpenSSL शाखा वापरतात, परंतु समस्या स्वतःला प्रकट केले जेव्हा APT पॅकेज मॅनेजर डेबियन 10 आणि उबंटू 18.04/20.04 च्या वर्तमान रीलिझमध्ये चालू असेल तेव्हा, APT GnuTLS लायब्ररी वापरते. समस्येचा मुख्य मुद्दा असा आहे की अनेक TLS/SSL लायब्ररी एक रेखीय शृंखला म्हणून प्रमाणपत्राचे विश्लेषण करतात, तर RFC 4158 नुसार, प्रमाणपत्र एकाधिक ट्रस्ट अँकरसह निर्देशित वितरित वर्तुळाकार आलेख दर्शवू शकते ज्याचा विचार करणे आवश्यक आहे. OpenSSL आणि GnuTLS मधील या दोषाबद्दल होते ज्ञात अनेक वर्षे. OpenSSL मध्ये समस्या शाखा 1.1.1 आणि मध्ये निश्चित केली गेली gnuTLS राहते चुकीचे.

वर्कअराउंड म्हणून, सिस्टम स्टोअरमधून “AddTrust External CA Root” प्रमाणपत्र काढून टाकण्याची सूचना केली जाते (उदाहरणार्थ, /etc/ca-certificates.conf आणि /etc/ssl/certs वरून काढून टाका आणि नंतर “update-ca) चालवा -प्रमाणपत्रे -f -v"), ज्यानंतर OpenSSL त्याच्या सहभागासह क्रॉस-स्वाक्षरी केलेल्या प्रमाणपत्रांवर प्रक्रिया करण्यास सुरुवात करते. APT पॅकेज मॅनेजर वापरताना, तुम्ही तुमच्या स्वत:च्या जोखमीवर वैयक्तिक विनंत्यांसाठी प्रमाणपत्र पडताळणी बंद करू शकता (उदाहरणार्थ, “apt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false”) .

मध्ये समस्या अवरोधित करण्यासाठी Fedora и रहेल ब्लॅकलिस्टमध्ये AddTrust प्रमाणपत्र जोडण्याचा प्रस्ताव आहे:

trust dump —filter «pkcs11:id=%AD%BD%98%7A%34%B4%26%F7%FA%C4%26%54%EF%03%BD%E0%24%CB%54%1A;type=cert» \
> /etc/pki/ca-trust/source/blacklist/addtrust-external-root.p11-kit
update-ca-trust अर्क

पण ही पद्धत काम करत नाही GnuTLS साठी (उदाहरणार्थ, wget युटिलिटी चालवताना प्रमाणपत्र पडताळणी त्रुटी दिसून येत आहे).

सर्व्हर बाजूला आपण हे करू शकता बदल ऑर्डर सर्व्हरने क्लायंटला पाठवलेल्या ट्रस्ट चेनमधील प्रमाणपत्रांची यादी करणे (जर “AddTrust External CA Root” शी संबंधित प्रमाणपत्र सूचीमधून काढून टाकले असेल, तर क्लायंटची पडताळणी यशस्वी होईल). विश्वासाची नवीन साखळी तपासण्यासाठी आणि निर्माण करण्यासाठी, तुम्ही सेवा वापरू शकता whatsmychaincert.com. Sectigo देखील प्रदान केले पर्यायी क्रॉस-स्वाक्षरी केलेले इंटरमीडिएट प्रमाणपत्र "AAA प्रमाणपत्र सेवा", जे 2028 पर्यंत वैध असेल आणि OS च्या जुन्या आवृत्त्यांसह सुसंगतता राखेल.

जोड: समस्या देखील दिसते LibreSSL मध्ये.

स्त्रोत: opennet.ru