OpenBSD, DragonFly BSD र Electron मा IdenTrust रूट प्रमाणपत्र म्याद समाप्तिको कारण क्र्यासहरू

Let's Encrypt CA रूट प्रमाणपत्र क्रस-साइन गर्न प्रयोग गरिएको IdenTrust रूट प्रमाणपत्र (DST Root CA X3) को ह्रासले OpenSSL र GnuTLS को पुरानो संस्करणहरू प्रयोग गर्ने परियोजनाहरूमा Let's Encrypt प्रमाणपत्र प्रमाणिकरणमा समस्या उत्पन्न गरेको छ। समस्याहरूले LibreSSL पुस्तकालयलाई पनि असर गर्‍यो, जसका विकासकर्ताहरूले Sectigo (Comodo) CA को AddTrust रूट प्रमाणपत्र अप्रचलित भएपछि उत्पन्न हुने असफलताहरूसँग सम्बन्धित विगतको अनुभवलाई ध्यानमा राखेनन्।

हामीलाई याद गरौं कि OpenSSL मा शाखा 1.0.2 सम्म समावेशी र GnuTLS मा रिलीज 3.6.14 अघि, त्यहाँ एउटा बग थियो जसले क्रस-हस्ताक्षरित प्रमाणपत्रहरूलाई सही तरिकाले प्रशोधन गर्न अनुमति दिँदैन यदि हस्ताक्षरको लागि प्रयोग गरिएको मूल प्रमाणपत्रहरू मध्ये एउटा पुरानो भयो। , यदि अन्य मान्यहरू ट्रस्टको चेनहरू सुरक्षित राखिएको भए पनि (Let's Encrypt को अवस्थामा, IdenTrust रूट प्रमाणपत्रको अप्रचलितताले प्रमाणीकरणलाई रोक्छ, यद्यपि प्रणालीले Let's Encrypt को आफ्नै रूट प्रमाणपत्रको लागि समर्थन गरेको छ, 2030 सम्म मान्य)। बगको सार यो हो कि OpenSSL र GnuTLS को पुरानो संस्करणहरूले प्रमाणपत्रलाई रेखीय चेनको रूपमा पार्स गर्यो, जबकि RFC 4158 अनुसार, प्रमाणपत्रले धेरै ट्रस्ट एन्करहरूसँग निर्देशित वितरित गोलाकार ग्राफ प्रतिनिधित्व गर्न सक्छ जुन खातामा लिनु आवश्यक छ।

विफलता समाधान गर्न एक समाधानको रूपमा, यो प्रणाली भण्डारण (/etc/ca-certificates.conf र /etc/ssl/certs) बाट "DST रूट CA X3" प्रमाणपत्र मेटाउन प्रस्ताव गरिएको छ, र त्यसपछि "अपडेट" आदेश चलाउनुहोस्। -ca-प्रमाणपत्र -f -v"")। CentOS र RHEL मा, तपाईंले "DST Root CA X3" प्रमाणपत्रलाई कालोसूचीमा थप्न सक्नुहुन्छ: ट्रस्ट डम्प —फिल्टर "pkcs11:id=%c4%a7%b1%a4%7b%2c%71%fa%db%e1% 4b%90 %75%ff%c4%15%60%85%89%10" | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract

IdenTrust रूट प्रमाणपत्रको म्याद सकिएपछि हामीले देखेका केही क्र्यासहरू:

• OpenBSD मा, syspatch उपयोगिता, बाइनरी प्रणाली अद्यावधिकहरू स्थापना गर्न प्रयोग गरिन्छ, काम गर्न बन्द भएको छ। OpenBSD परियोजनाले आज तुरुन्तै शाखा 6.8 र 6.9 को लागि प्याचहरू जारी गर्‍यो जसले LibreSSL मा क्रस-हस्ताक्षरित प्रमाणपत्रहरू जाँच गर्ने समस्याहरू समाधान गर्दछ, जसको ट्रस्ट चेनमा रहेको रूट प्रमाणपत्रहरू मध्ये एउटा म्याद सकिएको छ। समस्याको समाधानको रूपमा, /etc/installurl मा HTTPS बाट HTTP मा स्विच गर्न सिफारिस गरिन्छ (यसले सुरक्षालाई खतरामा पार्दैन, किनकि अद्यावधिकहरू डिजिटल हस्ताक्षरद्वारा पनि प्रमाणित हुन्छन्) वा वैकल्पिक मिरर (ftp.usa.openbsd) चयन गर्नुहोस्। org, ftp.hostserver.de, cdn.openbsd.org)। तपाईंले /etc/ssl/cert.pem फाइलबाट म्याद सकिएको DST Root CA X3 रूट प्रमाणपत्र पनि हटाउन सक्नुहुन्छ।
• DragonFly BSD मा, समान समस्याहरू DPports सँग काम गर्दा अवलोकन गरिन्छ। pkg प्याकेज प्रबन्धक सुरु गर्दा, प्रमाणपत्र प्रमाणिकरण त्रुटि देखा पर्दछ। समाधान आज मास्टर, DragonFly_RELEASE_6_0 र DragonFly_RELEASE_5_8 शाखाहरूमा थपियो। समाधानको रूपमा, तपाईंले DST रूट CA X3 प्रमाणपत्र हटाउन सक्नुहुन्छ।
• Electron प्लेटफर्ममा आधारित अनुप्रयोगहरूमा Let's Encrypt प्रमाणपत्रहरू प्रमाणीकरण गर्ने प्रक्रिया बिग्रिएको छ। 12.2.1, 13.5.1, 14.1.0, 15.1.0 अपडेटहरूमा समस्या समाधान गरिएको थियो।
• GnuTLS पुस्तकालयको पुरानो संस्करणहरूसँग सम्बन्धित APT प्याकेज प्रबन्धक प्रयोग गर्दा केही वितरणहरूमा प्याकेज भण्डारहरू पहुँच गर्न समस्या हुन्छ। डेबियन 9 समस्याबाट प्रभावित भएको थियो, जसले अनप्याच नगरिएको GnuTLS प्याकेज प्रयोग गर्‍यो, जसले समयमै अद्यावधिक स्थापना नगर्ने प्रयोगकर्ताहरूका लागि deb.debian.org पहुँच गर्दा समस्या निम्त्यायो (gnutls28-3.5.8-5+deb9u6 समाधान प्रस्ताव गरिएको थियो। सेप्टेम्बर 17 मा)। समाधानको रूपमा, DST_Root_CA_X3.crt लाई /etc/ca-certificates.conf फाइलबाट हटाउन सिफारिस गरिन्छ।
• OPNsense फायरवालहरू सिर्जना गर्न वितरण किटमा acme-client को सञ्चालन अवरुद्ध भयो; समस्या पहिले नै रिपोर्ट गरिएको थियो, तर विकासकर्ताहरूले समयमा प्याच जारी गर्न व्यवस्थापन गरेनन्।
• समस्याले RHEL/CentOS 1.0.2 मा OpenSSL 7k प्याकेजलाई असर गर्यो, तर एक हप्ता अघि ca-certificates-7-7.el2021.2.50_72.noarch प्याकेजमा RHEL 7 र CentOS 9 को लागि अद्यावधिक गरिएको थियो, जसबाट IdenTrust प्रमाणपत्र हटाइयो, अर्थात् समस्या को अभिव्यक्ति अग्रिम अवरुद्ध थियो। उबन्टु 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 र Ubuntu 18.04 को लागि एक हप्ता अघि यस्तै अपडेट प्रकाशित गरिएको थियो। अद्यावधिकहरू अग्रिम जारी गरिएको हुनाले, चलो एन्क्रिप्ट प्रमाणपत्रहरू जाँच गर्ने समस्याले RHEL/CentOS र Ubuntu का पुराना शाखाहरूका प्रयोगकर्ताहरूलाई मात्र असर गर्छ जसले नियमित रूपमा अद्यावधिकहरू स्थापना गर्दैनन्।
• grpc मा प्रमाणपत्र प्रमाणीकरण प्रक्रिया बिग्रिएको छ।
• Cloudflare पृष्ठहरू प्लेटफर्म निर्माण असफल भयो।
• Amazon Web Services (AWS) मा समस्याहरू।
• DigitalOcean प्रयोगकर्ताहरूलाई डाटाबेसमा जडान गर्न समस्या छ।
• Netlify क्लाउड प्लेटफर्म क्र्यास भएको छ।
• Xero सेवाहरू पहुँच गर्न समस्याहरू।
• मेलगन सेवाको वेब API मा TLS जडान स्थापना गर्ने प्रयास असफल भयो।
• macOS र iOS (11, 13, 14) को संस्करणहरूमा क्र्यासहरू, जुन सैद्धान्तिक रूपमा समस्याबाट प्रभावित हुनुपर्दैन।
• क्याचपोइन्ट सेवाहरू असफल भयो।
• PostMan API पहुँच गर्दा प्रमाणपत्रहरू प्रमाणीकरण गर्दा त्रुटि।
• गार्डियन फायरवाल क्र्यास भएको छ।
• Monday.com समर्थन पृष्ठ बिग्रिएको छ।
• Cerb प्लेटफर्म क्र्यास भएको छ।
• गुगल क्लाउड निगरानीमा अपटाइम जाँच असफल भयो।
• Cisco Umbrella Secure Web Gateway मा प्रमाणपत्र प्रमाणीकरणको साथ समस्या।
• Bluecoat र Palo Alto प्रोक्सीहरूमा जडान गर्दा समस्याहरू।
• OVHcloud लाई OpenStack API मा जडान गर्न समस्या भइरहेको छ।
• Shopify मा रिपोर्टहरू उत्पन्न गर्न समस्याहरू।
• Heroku API पहुँच गर्न समस्याहरू छन्।
• लेजर लाइभ प्रबन्धक क्र्यास भयो।
• Facebook एप विकासकर्ता उपकरणहरूमा प्रमाणपत्र प्रमाणीकरण त्रुटि।
• Sophos SG UTM मा समस्याहरू।
• cPanel मा प्रमाणपत्र प्रमाणीकरण संग समस्या।

स्रोत: opennet.ru