{"id":101490,"date":"2021-10-01T16:22:46","date_gmt":"2021-10-01T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust"},"modified":"2021-10-01T16:22:46","modified_gmt":"2021-10-01T14:22:46","slug":"sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust","title":{"rendered":"Storingen in OpenBSD, DragonFly BSD en Electron door veroudering van het rootcertificaat van IdenTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De be\u00ebindiging van de rootcertificaat van IdenTrust (DST Root CA X3), dat wordt gebruikt voor cross-signing van het rootcertificaat van de certificeringsinstantie Let’s Encrypt, heeft geleid tot problemen met certificaatverificatie bij Let’s Encrypt in projecten die oude versies van OpenSSL en GnuTLS gebruiken. De problemen hadden ook invloed op de LibreSSL-bibliotheek, waarvan de ontwikkelaars geen rekening hebben gehouden met eerdere ervaringen met falen die zich voordeden na de veroudering van het rootcertificaat van de Sectigo (Comodo) certificeringsinstantie AddTrust. <\/p>\n
Ter herinnering: in versies van OpenSSL tot en met tak 1.0.2 en in GnuTLS tot de release 3.6.14 was er een fout die het niet mogelijk maakte om cross-signing certificaten correct te verwerken bij de veroudering van een van de rootcertificaten die bij de ondertekening betrokken waren, zelfs als er andere geldige vertrouwensketens behouden bleven (in het geval van Let’s Encrypt zorgt de veroudering van het rootcertificaat van IdenTrust ervoor dat verificatie niet kan worden uitgevoerd, zelfs niet als het systeem ondersteuning heeft voor het eigen rootcertificaat van Let’s Encrypt dat geldig is tot 2030). De kern van de fout is dat oude versies van OpenSSL en GnuTLS het certificaat als een lineaire keten interpreteerden, terwijl volgens RFC 4158 het certificaat een gerichte verdeling cyclical graf kan vertegenwoordigen met meerdere vertrouwensankers die in aanmerking moeten worden genomen. <\/p>\n
Als een tijdelijke oplossing voor de storing wordt voorgesteld om het certificaat \"DST Root CA X3\" uit de systeemsleutelopslag ( \/etc\/ca-certificates.conf en \/etc\/ssl\/certs) te verwijderen en vervolgens het commando \"update-ca-certificates -f -v\" uit te voeren. In CentOS en RHEL kan het certificaat \"DST Root CA X3\" op de zwarte lijst worden gezet: trust dump \u2014filter \"pkcs11:id=\" | openssl x509 | sudo tee \/etc\/pki\/ca-trust\/source\/blacklist\/DST-Root-CA-X3.pem sudo update-ca-trust extract <\/ul>\n
Enkele van de storingen die zijn opgemerkt na het intrekken van het rootcertificaat IdenTrust: <\/p>\n
\n
In OpenBSD, the syspatch utility, used for installing system binary updates, has stopped working. The OpenBSD project has urgently released patches today for branches 6.8 and 6.9, addressing issues in LibreSSL related to the verification of cross-signed certificates, one of which has an expired root certificate in the trust chain. As a workaround, it is recommended to switch from HTTPS to HTTP in \/etc\/installurl (this does not threaten security as updates are additionally verified by a digital signature) or to select an alternative mirror (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). It is also possible to remove the expired root certificate DST Root CA X3 from the file \/etc\/ssl\/cert.pem.\n
In DragonFly BSD, similar issues are observed when working with DPorts. When launching the pkg package manager, a certificate verification error is displayed. The fix has been added today to the branches master, DragonFly_RELEASE_6_0, and DragonFly_RELEASE_5_8. As a workaround, the DST Root CA X3 certificate can be deleted.\n
Het proces van certificaatverificatie voor Let’s Encrypt is verstoord in applicaties die zijn gebaseerd op het Electron-platform. Het probleem is opgelost in de updates 12.2.1, 13.5.1, 14.1.0, 15.1.0.\n
Some distributions are experiencing issues accessing package repositories when using the APT package manager, related to older versions of the GnuTLS library. Debian 9 is affected, where an unpatched GnuTLS package was used, leading to problems accessing deb.debian.org for users who did not install updates on time (the fix gnutls28-3.5.8-5+deb9u6 was proposed on September 17). As a workaround, it is recommended to remove DST_Root_CA_X3.crt from the file \/etc\/ca-certificates.conf.\n
The acme-client functionality in the OPNsense firewall distribution has been disrupted; although the issue was reported in advance, the developers could not release a patch in time.\n
Het probleem had betrekking op het OpenSSL-pakket 1.0.2k in RHEL\/CentOS 7, maar een week geleden werd voor RHEL 7 en CentOS 7 een update van het pakket ca-certificates-2021.2.50-72.el7_9.noarch uitgebracht, waarbij het IdenTrust-certificaat is verwijderd. Met andere woorden, de manifestatie van het probleem was vooraf geblokkeerd. Een soortgelijke update werd een week geleden gepubliceerd voor Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 en Ubuntu 18.04. Aangezien de updates voorafgaand aan het probleem werden uitgebracht, hadden alleen gebruikers van oudere versies van RHEL\/CentOS en Ubuntu die updates niet regelmatig instelden last van de certificaatverificatieproblemen met Let's Encrypt.\n
Er is een probleem met de validatie van certificaten in grpc.\n
Fout bij het bouwen van het Cloudflare Pages-platform.\n
Problemen met Amazon Web Services (AWS).\n
Problemen met het verbinden met de database voor DigitalOcean-gebruikers.\n
Fout in de cloud-platform Netlify.\n
Problemen met toegang tot de Xero-services.\n
Fout bij het proberen een TLS-verbinding te maken met de MailGun Web API.\n
Fouten in de versies van macOS en iOS (11, 13, 14) die theoretisch niet door het probleem geraakt zouden moeten worden.\n
Fout in de services van Catchpoint.\n
Fout bij de validatie van certificaten bij toegang tot de PostMan API.\n
Fout in de Guardian Firewall.\n
Problemen met de ondersteuningspagina van monday.com.\n
Fout in het Cerb-platform.\n
Fout bij het controleren van uptime in Google Cloud Monitoring.\n
Probleem met de validatie van certificaten in Cisco Umbrella Secure Web Gateway.\n
Problemen met de verbinding met de Bluecoat en Palo Alto proxy.\n
Er zijn problemen met de verbinding met de OpenStack API in OVHcloud.\n
Problemen met het genereren van rapporten in Shopify.\n
Problemen bij het benaderen van de Heroku API.\n
Fout in de Ledger Live Manager.\n
Fout bij de validatie van certificaat in de ontwikkelaarstools voor Facebook-apps.\n
Problemen in Sophos SG UTM.\n
Problemen met de validatie van certificaten in cPanel. <\/ul>\n