{"id":83443,"date":"2020-05-31T13:42:09","date_gmt":"2020-05-31T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls"},"modified":"2020-05-31T13:42:09","modified_gmt":"2020-05-31T11:42:09","slug":"ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","title":{"rendered":"De veroudering van het rootcertificaat AddTrust leidde tot storingen in systemen met OpenSSL en GnuTLS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Op 30 mei is de 20-jarige geldigheidsduur van het rootcertificaat verlopen. AddTrust<\/a><\/noindex>, die gebruik gemaakt van<\/a><\/noindex> om een cross-signed handtekening te genereren in de certificaten van een van de grootste certificeringsinstanties Sectigo (Comodo). De cross-signed handtekening maakte compatibiliteit mogelijk met verouderde apparaten waarvan de nieuwe rootcertificaat USERTrust niet was toegevoegd aan de opslag van rootcertificaten. <\/p>\n

\"De<\/a><\/noindex><\/center><\/p>\n

In theorie zou het vervallen van het rootcertificaat AddTrust slechts leiden tot incompatibiliteit met verouderde systemen (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, enz.), omdat het tweede rootcertificaat, dat in de cross-signed handtekening wordt gebruikt, nog steeds actueel is en moderne browsers dit meenemen bij het controleren van de vertrouwensketen. In de praktijk zijn er<\/a><\/noindex> problemen ontdekt met de controle van de cross-signed handtekening in TLS-clienten die geen browsers gebruiken, waaronder op basis van OpenSSL 1.0.x en GnuTLS. Veilige verbindingen konden niet meer tot stand worden gebracht, met een foutmelding over het verstrijken van het certificaat, als op de server een Sectigo-certificaat werd gebruikt dat in een vertrouwensketen was verbonden met het rootcertificaat AddTrust.<\/p>\n

Als gebruikers van moderne browsers de veroudering van het rootcertificaat AddTrust niet opmerkte bij de verwerking van cross-signed certificaten van Sectigo, begonnen er in verschillende externe applicaties en serververwerkingssystemen problemen op te duiken, wat leidde tot tot schending<\/a><\/noindex> uitval van<\/a><\/noindex> veel infrastructuren die versleutelde communicatiekanalen gebruikten voor interactie tussen componenten. <\/p>\n

Bijvoorbeeld ontstonden er van het probleem<\/a><\/noindex> met toegang tot bepaalde pakketrepositories in Debian en Ubuntu (apt begon een foutmelding te geven over de certificaatcontrole), falen scripts bij het gebruik van de tools 'curl' en 'wget', en er treden fouten op bij het gebruik van Git. de werking van<\/a><\/noindex> de Roku streaming platformen werd verstoord, en handlers werden niet meer aangeroepen voor Stripe<\/a><\/noindex> en DataDog<\/a><\/noindex>, en er begonnen crashes op te treden<\/a><\/noindex> in Heroku-applicaties, stopten<\/a><\/noindex> OpenLDAP-cli\u00ebnten met verbinden, er waren problemen met het verzenden van e-mails naar SMTPS- en SMTP-servers met STARTTLS. Bovendien waren er problemen in verschillende Ruby-, PHP- en Python-scripts die de http-clientmodule gebruikten. Van de browsers vertoont aan<\/a><\/noindex> Epiphany problemen, waarin de advertentieblokkadelijsten niet meer konden worden geladen.<\/p>\n

Programma's in de Go-taal zijn niet onderhevig aan het probleem, omdat in Go wordt voorgesteld een eigen implementatie<\/a><\/noindex> TLS.<\/p>\n

Er werd aangenomen<\/a><\/noindex>, omdat het probleem oudere versies van distributies raakt (waaronder Debian 9, Ubuntu 16.04, RHEL 6\/7<\/a><\/noindex>) waarin problematische versies van OpenSSL worden gebruikt, maar het probleem kwam ook voor<\/a><\/noindex> bij het gebruik van de APT-pakketbeheerder in de huidige versies van Debian 10 en Ubuntu 18.04\/20.04, omdat APT de GnuTLS-bibliotheek gebruikt. De kern van het probleem is dat veel TLS\/SSL-bibliotheken het certificaat als een lineaire keten parseren, terwijl volgens RFC 4158 het certificaat een gerichte, gedistribueerde cyclische grafiek met meerdere vertrouwensankers kan zijn, die in aanmerking moeten worden genomen. Deze tekortkoming in OpenSSL en GnuTLS hebben<\/a><\/noindex> is bekend<\/a><\/noindex> bestaat al vele jaren<\/a><\/noindex>. In OpenSSL is het probleem verholpen in versie 1.1.1, terwijl in GnuTLS<\/a><\/noindex> blijft de onopgeloste<\/a><\/noindex>.<\/p>\n

Als tijdelijke oplossing voor de storing wordt voorgesteld om het certificaat 'AddTrust External CA Root' uit de systeemopslag te verwijderen (bijvoorbeeld uit \/etc\/ca-certificates.conf en \/etc\/ssl\/certs, en vervolgens 'update-ca-certificates -f -v' uit te voeren), waarna OpenSSL normaal beginnende gecertificeerde certificaten kan verwerken. Bij het gebruik van de package manager APT kan men op eigen risico de certificaatcontrole voor bepaalde verzoeken uitschakelen (bijvoorbeeld 'apt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false'). <\/p>\n

Om het probleem te blokkeren in Fedora<\/a><\/noindex> en RHEL<\/a><\/noindex> wordt voorgesteld om het AddTrust-certificaat op de zwarte lijst te zetten:<\/p>\n

trust dump \u2014filter 'pkcs11:id=;type=cert' \\
\n > \/etc\/pki\/ca-trust\/source\/blacklist\/addtrust-external-root.p11-kit
\n update-ca-trust extract<\/p>\n

Maar deze methode niet werkt<\/a><\/noindex> werkt nog steeds niet voor GnuTLS (bijvoorbeeld wordt er nog steeds een certificaatverificatiefout weergegeven bij het starten van de wget-tool).<\/p>\n

Aan de serverzijde kan men de volgorde<\/a><\/noindex> van de certificaten in de vertrouwenskete die door de server naar de client wordt verzonden (als het certificaat dat verband houdt met 'AddTrust External CA Root' uit de lijst wordt verwijderd, zal de controle door de client succesvol zijn). Voor de controle en generatie van een nieuwe vertrouwenskete kan de service<\/a><\/noindex> enumeraties van certificaten in de vertrouwensketen die door de server naar de client worden gestuurd (als het certificaat dat verband houdt met 'AddTrust External CA Root' uit de lijst wordt verwijderd, zal de controle door de client succesvol zijn). Voor controle en generatie van een nieuwe vertrouwensketen kan de service worden gebruikt. worden gebruikt. Sectigo heeft ook<\/a><\/noindex>een alternatief kruisgewijs ondertekend tussentijds certificaat ' AAA Certificate Services<\/a><\/noindex> alternatief kruiselings ondertekend tussenliggend certificaat 'Aanvulling: Het probleem doet zich ook voor<\/a><\/noindex>', dat geldig zal zijn tot 2028 en compatibiliteit met oudere versies van het besturingssysteem mogelijk maakt.<\/p>\n

Op 30 mei is de 20-jarige geldigheid van het rootcertificaat AddTrust verlopen, dat verschijnt<\/a><\/noindex> \ud83e\udd47De veroudering van het rootcertificaat AddTrust leidde tot fouten in systemen met OpenSSL en GnuTLS | ProHoster<\/p>\n

<\/a><\/noindex><\/p>\n

Bron: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438 (cross-signed) \u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u0445 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0438\u0445 \u0446\u0435\u043d\u0442\u0440\u043e\u0432 Sectigo (Comodo). \u041f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u043c\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0432 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0435 \u0431\u044b\u043b \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 USERTRust. \u0422\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0432\u0435\u0441\u0442\u0438 \u043b\u0438\u0448\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":83444,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-83443","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"De veroudering van het AddTrust rootcertificaat leidde tot fouten in systemen met OpenSSL en GnuTLS | ProHoster","description":"\ud83e\udd47","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u043f\u0440\u0438\u0432\u0435\u043b\u043e \u043a \u0441\u0431\u043e\u044f\u043c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u0441 OpenSSL \u0438 GnuTLS | ProHoster","og:description":"30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-31T11:42:09+00:00","article:modified_time":"2020-05-31T11:42:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"83443","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:17:29","updated":"2022-09-28 18:33:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/83443","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=83443"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/83443\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media\/83444"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=83443"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=83443"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=83443"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}