Het intrekken van het rootcertificaat van IdenTrust (DST Root CA X3), dat wordt gebruikt voor de kruis-ondertekening van het rootcertificaat van de certificeringsautoriteit Let’s Encrypt, heeft geleid tot problemen met de verificatie van Let’s Encrypt-certificaten in projecten die oudere versies van OpenSSL en GnuTLS gebruiken. Deze problemen hebben ook de LibreSSL-bibliotheek beïnvloed, waarvan de ontwikkelaars eerdere ervaringen met storingen, die ontstonden na de intrekking van het rootcertificaat van de certificeringsautoriteit Sectigo (Comodo), niet hebben meegenomen.
Ter herinnering, in OpenSSL-versies tot en met de 1.0.2-tak en in GnuTLS tot versie 3.6.14 was er een fout die verhinderde dat kruis-ondertekende certificaten correct werden verwerkt als een van de betrokken rootcertificaten was ingetrokken, zelfs als er andere geldige ketens van vertrouwen bestonden (in het geval van Let’s Encrypt staat de intrekking van het rootcertificaat IdenTrust de verificatie niet toe, zelfs als het systeem ondersteuning heeft voor het eigen rootcertificaat van Let’s Encrypt dat geldig is tot 2030). De kern van het probleem is dat oudere versies van OpenSSL en GnuTLS het certificaat als een lineaire keten behandelden, terwijl volgens RFC 4158 een certificaat een gerichte gedistribueerde cyclische grafiek met meerdere vertrouwensankers kan vertegenwoordigen die in aanmerking moeten worden genomen.
Als een tijdelijke oplossing voor de storing wordt voorgesteld om het certificaat "DST Root CA X3" uit de systeemopslag (\/etc\/ca-certificates.conf en \/etc\/ssl\/certs) te verwijderen, waarna de opdracht "update-ca-certificates -f -v" kan worden uitgevoerd. Op CentOS en RHEL kan het certificaat "DST Root CA X3" op de zwarte lijst worden gezet: trust dump —filter "pkcs11:id=" | openssl x509 | sudo tee \/etc\/pki\/ca-trust\/source\/blacklist\/DST-Root-CA-X3.pem sudo update-ca-trust extract
Enkele van de storingen die zijn opgemerkt na het intrekken van het rootcertificaat IdenTrust:
- In OpenBSD, the syspatch utility, used for installing system binary updates, has stopped working. The OpenBSD project has urgently released patches today for branches 6.8 and 6.9, addressing issues in LibreSSL related to the verification of cross-signed certificates, one of which has an expired root certificate in the trust chain. As a workaround, it is recommended to switch from HTTPS to HTTP in /etc/installurl (this does not threaten security as updates are additionally verified by a digital signature) or to select an alternative mirror (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). It is also possible to remove the expired root certificate DST Root CA X3 from the file /etc/ssl/cert.pem.
- In DragonFly BSD, similar issues are observed when working with DPorts. When launching the pkg package manager, a certificate verification error is displayed. The fix has been added today to the branches master, DragonFly_RELEASE_6_0, and DragonFly_RELEASE_5_8. As a workaround, the DST Root CA X3 certificate can be deleted.
- The certificate verification process for Let’s Encrypt is disrupted in applications based on the Electron platform. The issue has been resolved in updates 12.2.1, 13.5.1, 14.1.0, and 15.1.0.
- Some distributions are experiencing issues accessing package repositories when using the APT package manager, related to older versions of the GnuTLS library. Debian 9 is affected, where an unpatched GnuTLS package was used, leading to problems accessing deb.debian.org for users who did not install updates on time (the fix gnutls28-3.5.8-5+deb9u6 was proposed on September 17). As a workaround, it is recommended to remove DST_Root_CA_X3.crt from the file /etc/ca-certificates.conf.
- The acme-client functionality in the OPNsense firewall distribution has been disrupted; although the issue was reported in advance, the developers could not release a patch in time.
- Het probleem had betrekking op het OpenSSL-pakket 1.0.2k in RHEL/CentOS 7, maar een week geleden werd er een update voor het pakket ca-certificates-2021.2.50-72.el7_9.noarch voor RHEL 7 en CentOS 7 uitgebracht, waarin het IdenTrust-certificaat werd verwijderd, wat betekent dat het probleem vooraf was geblokkeerd. Een soortgelijke update werd een week geleden gepubliceerd voor Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 en Ubuntu 18.04. Aangezien de updates tijdig zijn uitgebracht, heeft het probleem met de validatie van Let's Encrypt-certificaten alleen gebruikers van oudere versies van RHEL/CentOS en Ubuntu geraakt, die niet regelmatig updates installeren.
- Er is een probleem met de validatie van certificaten in grpc.
- Fout bij het bouwen van het Cloudflare Pages-platform.
- Problemen met Amazon Web Services (AWS).
- Problemen met het verbinden met de database voor DigitalOcean-gebruikers.
- Fout in de cloud-platform Netlify.
- Problemen met toegang tot de Xero-services.
- Fout bij het proberen een TLS-verbinding te maken met de MailGun Web API.
- Fouten in de versies van macOS en iOS (11, 13, 14) die theoretisch niet door het probleem geraakt zouden moeten worden.
- Fout in de services van Catchpoint.
- Fout bij de validatie van certificaten bij toegang tot de PostMan API.
- Fout in de Guardian Firewall.
- Problemen met de ondersteuningspagina van monday.com.
- Fout in het Cerb-platform.
- Fout bij het controleren van uptime in Google Cloud Monitoring.
- Probleem met de validatie van certificaten in Cisco Umbrella Secure Web Gateway.
- Problemen met de verbinding met de Bluecoat en Palo Alto proxy.
- Er zijn problemen met de verbinding met de OpenStack API in OVHcloud.
- Problemen met het genereren van rapporten in Shopify.
- Problemen bij het benaderen van de Heroku API.
- Fout in de Ledger Live Manager.
- Fout bij de validatie van certificaat in de ontwikkelaarstools voor Facebook-apps.
- Problemen in Sophos SG UTM.
- Problemen met de validatie van certificaten in cPanel.
Bron: opennet.ru
