{"id":84766,"date":"2020-06-10T13:43:11","date_gmt":"2020-06-10T11:43:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory"},"modified":"2020-06-10T13:43:11","modified_gmt":"2020-06-10T11:43:11","slug":"problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","title":{"rendered":"Het probleem van verouderde rootcertificaten. Aan de beurt zijn Let's Encrypt en slimme televisies","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Het
\n
\nOm een website te authentiseren, presenteert deze zich met een geldige certificaatketen. Een typische keten wordt hierboven weergegeven, en deze kan meer dan \u00e9\u00e9n tussenliggend certificaat bevatten. Het minimale aantal certificaten in een geldige keten bedraagt drie.<\/p>\n

Het rootcertificaat is het hart van de certificeringsautoriteit. Het is letterlijk ingebouwd in uw besturingssysteem of browser, en is fysiek aanwezig op uw apparaat. Het kan niet vanaf de server worden vervangen. Dit vereist een geforceerde update van het besturingssysteem of de ingebouwde software op het apparaat.<\/p>\n

Beveiligingsspecialist Scott Helme operationele<\/a><\/noindex>, dat de belangrijkste problemen zich zullen voordoen bij het certificeringscentrum Let's Encrypt, omdat dit momenteel het meest populaire CA op internet is en zijn rootcertificaat binnenkort 'verloopt'. De wijziging van de root Let's Encrypt is gepland op 8 juli 2020<\/a><\/noindex>.
\n<\/a><\/noindex>
\nDe eind- en tussenliggende certificaten van de certificeringsautoriteit (CA) worden vanuit de server naar de klant gestuurd, terwijl het rootcertificaat bij de klant al een<\/i>, waardoor met deze verzameling certificaten een keten kan worden gebouwd en de website geauthentiseerd kan worden. <\/p>\n

Het probleem is dat elk certificaat een geldigheidsduur heeft, waarna het moet worden vervangen. Bijvoorbeeld, vanaf 1 september 2020 is het plan om in de Safari-browser een beperking in te voeren op de geldigheid van server TLS-certificaten met een maximum van 398 dagen.<\/a><\/noindex>.<\/p>\n

Dit betekent dat we allemaal elk jaar minstens onze servercertificaten moeten vervangen. Deze beperking is alleen van toepassing op servercertificaten, en niet<\/i> is van toepassing op rootcertificaten van CA.<\/p>\n

CA-certificaten worden gereguleerd door een andere set regels, waardoor ze verschillende beperkingen hebben op hun geldigheid. Tussenliggende certificaten hebben vaak een geldigheidsduur van 5 jaar en rootcertificaten kunnen zelfs 25 jaar geldig zijn! <\/p>\n

Er zijn meestal geen problemen met tussenliggende certificaten, omdat deze door de server naar de klant worden geleverd, die veel vaker zijn eigen certificaat vervangt, en dus eenvoudigweg tijdens deze procedure ook het tussenliggende certificaat vervangt. Dit is relatief eenvoudig te vervangen samen met het servercertificaat, in tegenstelling tot het rootcertificaat van de CA.<\/p>\n

Zoals we al zeiden, is de root CA ingebouwd in het clientapparaat zelf, in het OS, de browser of andere software. Een wijziging in de root CA kan de website niet controleren. Dit vereist een update op de client, of het nu een update van het OS of de software is.<\/p>\n

Sommige root CA's bestaan al heel lang, namelijk 20-25 jaar. Binnenkort zullen sommige van de oudste root CA's bijna aan het einde van hun natuurlijke levensduur komen, hun tijd is bijna om. Voor de meesten van ons zal dit over het algemeen geen probleem zijn, omdat CA nieuwe root-certificaten heeft gemaakt die al jarenlang wereldwijd worden verspreid via updates van OS en browsers. Maar als iemand zijn OS of browser al lange tijd niet heeft bijgewerkt, kan dit een probleem zijn.<\/p>\n

Zo'n situatie deed zich voor op 30 mei 2020 om 10:48:38 GMT. Dit is het exacte moment waarop het root-certificaat AddTrust<\/a><\/noindex> van de certificeringsinstantie Comodo (Sectigo) is verlopen.<\/p>\n

Het werd gebruikt voor kruisverificatie om compatibiliteit te waarborgen met verouderde apparaten die het nieuwe root-certificaat USERTrust niet hadden opgeslagen.<\/p>\n

Helaas deden zich problemen voor, niet alleen in verouderde browsers, maar ook in niet-browsers clients op basis van OpenSSL 1.0.x, LibreSSL en GnuTLS<\/a><\/noindex>. Bijvoorbeeld, in televisie-ontvangers Roku<\/a><\/noindex>, de service Heroku<\/a><\/noindex>, in de applicaties van Fortinet, Chargify, op het .NET Core 2.0 platform onder Linux en veel anderen.<\/a><\/noindex>.<\/p>\n

Er werd aangenomen dat het probleem alleen verouderde systemen zou raken (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, enz.), omdat moderne browsers de tweede root-certificaat USERTRust konden aanroepen. Maar in werkelijkheid begonnen er storingen op te treden in honderden webservices die gebruik maakten van gratis OpenSSL 1.0.x en GnuTLS-bibliotheken. Veilige verbindingen konden niet meer worden tot stand gebracht met een foutmelding over de veroudering van certificaten.<\/p>\n

De volgende is Let's Encrypt<\/h1>\n

\nEen ander goed voorbeeld van de aanstaande wijziging van de root CA is het certificeringscentrum Let's Encrypt. Nog in april 2019<\/a><\/noindex> plande zij de overstap van de Identrust-keten naar hun eigen ISRG Root-keten, maar dit is niet gebeurd.<\/a><\/noindex>.<\/p>\n

\"Het
\n
\n\"Vanwege bezorgdheid over de onvoldoende verspreiding van de ISRG-root op Android-apparaten hebben we besloten de datum van de overgang naar onze eigen root te verschuiven van 8 juli 2019 naar 8 juli 2020,\" aldus het offici\u00eble bericht van Let's Encrypt.<\/p>\n

De datum moest worden verschoven vanwege een probleem dat 'root verspreiding' (root propagation) wordt genoemd, of beter gezegd, het ontbreken van root verspreiding, waarbij de root CA niet breed genoeg is verspreid over alle cli\u00ebnten. <\/p>\n

Momenteel gebruikt Let's Encrypt een kruisgewijs ondertekend tussenliggend certificaat met een keten tot de root IdenTrust DST Root CA X3. Dit rootcertificaat werd in september 2000 uitgegeven en vervalt op 30 september 2021. Tot die tijd is Let's Encrypt van plan over te stappen op zijn eigen zelfondertekende root ISRG Root X1.<\/p>\n

\"Het
\n
\nDe ISRG root is uitgegeven op 4 juni 2015. Daarna begon het proces voor goedkeuring als certificeringsautoriteit, wat eindigde op 6 augustus 2018.<\/a><\/noindex>Vanaf dat moment was de root CA toegankelijk voor alle cli\u00ebnten via een update van het besturingssysteem of de software. Alles wat nodig was, was om de update te installeren. <\/p>\n

Maar dat is precies het probleem.<\/p>\n

Als uw mobiele telefoon, televisie of een ander apparaat niet in twee jaar is bijgewerkt \u2014 hoe weet het over het nieuwe rootcertificaat ISRG Root X1? En als het niet in het systeem is ge\u00efnstalleerd, herkent uw apparaat alle servercertificaten van Let's Encrypt als ongeldig zodra Let's Encrypt overgaat op de nieuwe root. In het Android-ecosysteem zijn er veel verouderde apparaten die al lange tijd niet zijn bijgewerkt.<\/p>\n

\"Het
\nHet Android-ecosysteem<\/i><\/p>\n

Daarom heeft Let's Encrypt de overgang naar zijn eigen root ISRG uitgesteld en blijft het tussenliggende schakelpunt gebruiken dat naar de root IdenTrust gaat. Maar de overgang zal in ieder geval moeten plaatsvinden. En de datum voor de wijziging van de root is vastgesteld op 8 juli 2020.<\/a><\/noindex>.<\/p>\n

Om te controleren of de root ISRG X1 op uw apparaat (televisie, settopbox of andere cli\u00ebnt) is ge\u00efnstalleerd, opent u de testwebsite https:\/\/valid-isrgrootx1.letsencrypt.org\/<\/a><\/noindex>. Als er geen beveiligingswaarschuwing verschijnt, is alles in principe in orde. <\/p>\n

Let's Encrypt is niet de enige die de uitdaging van de overgang naar een nieuwe root moet aangaan. Cryptografie op internet is iets meer dan 20 jaar geleden gestart, dus het is precies het moment waarop veel rootcertificaten hun geldigheid verliezen.<\/p>\n

Eigenaren van slimme televisies, die jarenlang de software van Smart TV niet hebben bijgewerkt, kunnen met een dergelijk probleem worden geconfronteerd. Bijvoorbeeld, de nieuwe root van GlobalSign R5 Root.<\/a><\/noindex> uitgegeven in 2012, en daarna konden sommige oude Smart TV's geen verbinding meer maken omdat deze root CA gewoonweg ontbreekt. In het bijzonder konden deze klanten geen beveiligde verbinding maken met de site bbc.co.uk. Om het probleem op te lossen, moesten de beheerders van de BBC een truc toepassen: ze bouwden een alternatieve keten voor deze klanten<\/a><\/noindex> via extra tussenliggende certificaten, gebruikmakend van oude roots R3 Root<\/a><\/noindex> en R1 Root<\/a><\/noindex>, die nog niet zijn verlopen.<\/p>\n

www.bbc.co.uk (Leaf)\nGlobalSign ECC OV SSL CA 2018 (Intermediate)\nGlobalSign Root CA - R5 (Intermediate)\nGlobalSign Root CA - R3 (Intermediate)<\/pre>\n
\nDit is een tijdelijke oplossing. Het probleem zal niet verdwijnen zonder een update van de clientsoftware. Een Smart TV is in wezen een beperkte computer met Linux. En zonder updates zullen de rootcertificaten onvermijdelijk verouderen.<\/p>\n
Dit geldt voor alle apparaten, niet alleen voor tv's. Als je een apparaat hebt dat met internet is verbonden en dat als een 'slim' apparaat wordt geadverteerd, dan is het probleem van verlopen certificaten bijna zeker van toepassing. Als het apparaat niet wordt bijgewerkt, veroudert de root CA-opslag na verloop van tijd, en uiteindelijk zal het probleem aan het licht komen. Hoe snel dit probleem zich voor zal doen, hangt af van de datum van de laatste update van de rootopslag. Dit kan jaren voordat het apparaat daadwerkelijk op de markt komt zijn.<\/p>\n
Overigens is dit het probleem waarom sommige grote mediaplatforms geen moderne geautomatiseerde certificeringscentra zoals Let's Encrypt kunnen gebruiken, schrijft Scott Helme. Ze zijn niet geschikt voor slimme tv\u2019s, en het aantal roots is te klein om de ondersteuning van certificaten op verouderde apparaten te garanderen. Anders kan de tv gewoon geen moderne streamingdiensten starten.<\/p>\n
Het laatste voorval met AddTrust heeft aangetoond dat zelfs grote IT-bedrijven niet voorbereid zijn op het aflopen van een rootcertificaat.<\/p>\n
Er is maar \u00e9\u00e9n oplossing voor het probleem \u2014 updates. Ontwikkelaars van slimme apparaten moeten bij voorbaat zorgen voor een mechanismen voor software-updates en rootcertificaten. Aan de andere kant is het voor fabrikanten ongunstig om hun apparaten te laten werken na de garantieperiode.<\/p>\n
\n\"Het
\n<\/a><\/noindex>
\n
Bron: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0427\u0442\u043e\u0431\u044b \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u043c\u043e\u0433 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0435\u0431-\u0441\u0430\u0439\u0442, \u0442\u043e\u0442 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0435\u0431\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u0422\u0438\u043f\u0438\u0447\u043d\u0430\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u0430 \u0441\u0432\u0435\u0440\u0445\u0443, \u0432 \u043d\u0435\u0439 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430. \u041c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u0432 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0440\u0430\u0432\u043d\u043e \u0442\u0440\u0451\u043c. \u041a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u2014 \u0441\u0435\u0440\u0434\u0446\u0435 \u0446\u0435\u043d\u0442\u0440\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438. \u041e\u043d \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0432\u0441\u0442\u0440\u043e\u0435\u043d \u0432 \u0432\u0430\u0448\u0443 \u041e\u0421 \u0438\u043b\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440, \u043e\u043d \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0430 \u0432\u0430\u0448\u0435\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435. \u0415\u0433\u043e \u043d\u0435 \u043f\u043e\u043c\u0435\u043d\u044f\u0435\u0448\u044c \u0441\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":84767,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-84766","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Probleem van verouderde rootcertificaten. Aan de beurt zijn Let\u2019s Encrypt en slimme televisies | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0445 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041d\u0430 \u043e\u0447\u0435\u0440\u0435\u0434\u0438 Let\u2019s Encrypt \u0438 \u0443\u043c\u043d\u044b\u0435 \u0442\u0435\u043b\u0435\u0432\u0438\u0437\u043e\u0440\u044b | ProHoster","og:url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-10T11:43:11+00:00","article:modified_time":"2020-06-10T11:43:11+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"84766","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:51:43","updated":"2022-09-29 06:39:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/84766","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=84766"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/84766\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media\/84767"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=84766"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=84766"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=84766"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}