IdenTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਪੁੱਗਣ ਕਾਰਨ OpenBSD, DragonFly BSD ਅਤੇ ਇਲੈਕਟ੍ਰੋਨ ਵਿੱਚ ਕਰੈਸ਼

Let's Encrypt CA ਰੂਟ ਸਰਟੀਫਿਕੇਟ 'ਤੇ ਦਸਤਖਤ ਕਰਨ ਲਈ ਵਰਤੇ ਗਏ IdenTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ (DST ਰੂਟ CA X3) ਦੇ ਬਰਤਰਫ਼ੀਕਰਨ ਨੇ OpenSSL ਅਤੇ GnuTLS ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਪ੍ਰੋਜੈਕਟਾਂ ਵਿੱਚ Let's Encrypt ਸਰਟੀਫਿਕੇਟ ਵੈਰੀਫਿਕੇਸ਼ਨ ਨਾਲ ਸਮੱਸਿਆਵਾਂ ਪੈਦਾ ਕੀਤੀਆਂ ਹਨ। ਸਮੱਸਿਆਵਾਂ ਨੇ LibreSSL ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਵੀ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ, ਜਿਸ ਦੇ ਡਿਵੈਲਪਰਾਂ ਨੇ ਸੇਕਟੀਗੋ (ਕੋਮੋਡੋ) CA ਦੇ AddTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਦੇ ਅਪ੍ਰਚਲਿਤ ਹੋਣ ਤੋਂ ਬਾਅਦ ਪੈਦਾ ਹੋਈਆਂ ਅਸਫਲਤਾਵਾਂ ਨਾਲ ਜੁੜੇ ਪਿਛਲੇ ਅਨੁਭਵ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਨਹੀਂ ਰੱਖਿਆ।

ਸਾਨੂੰ ਯਾਦ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਕਿ OpenSSL ਰੀਲੀਜ਼ ਵਿੱਚ ਬ੍ਰਾਂਚ 1.0.2 ਤੱਕ ਸ਼ਾਮਲ ਹੈ ਅਤੇ GnuTLS ਵਿੱਚ ਰੀਲੀਜ਼ 3.6.14 ਤੋਂ ਪਹਿਲਾਂ, ਇੱਕ ਬੱਗ ਸੀ ਜੋ ਕਰਾਸ-ਹਸਤਾਖਰਿਤ ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਪ੍ਰੋਸੈਸ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦਾ ਸੀ ਜੇਕਰ ਸਾਈਨਿੰਗ ਲਈ ਵਰਤੇ ਗਏ ਰੂਟ ਸਰਟੀਫਿਕੇਟਾਂ ਵਿੱਚੋਂ ਇੱਕ ਪੁਰਾਣਾ ਹੋ ਜਾਂਦਾ ਹੈ। , ਭਾਵੇਂ ਹੋਰ ਵੈਧ ਲੋਕ ਟਰੱਸਟ ਦੀਆਂ ਚੇਨਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਿਆ ਗਿਆ ਹੋਵੇ (Let's Encrypt ਦੇ ਮਾਮਲੇ ਵਿੱਚ, IdenTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਅਪ੍ਰਚਲਿਤਤਾ ਤਸਦੀਕ ਨੂੰ ਰੋਕਦੀ ਹੈ, ਭਾਵੇਂ ਸਿਸਟਮ ਕੋਲ Let's Encrypt ਦੇ ਆਪਣੇ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਲਈ ਸਮਰਥਨ ਹੋਵੇ, 2030 ਤੱਕ ਵੈਧ)। ਬੱਗ ਦਾ ਸਾਰ ਇਹ ਹੈ ਕਿ OpenSSL ਅਤੇ GnuTLS ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਨੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਇੱਕ ਲੀਨੀਅਰ ਚੇਨ ਵਜੋਂ ਪਾਰਸ ਕੀਤਾ ਹੈ, ਜਦੋਂ ਕਿ RFC 4158 ਦੇ ਅਨੁਸਾਰ, ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਇੱਕ ਨਿਰਦੇਸ਼ਿਤ ਵੰਡਿਆ ਸਰਕੂਲਰ ਗ੍ਰਾਫ ਨੂੰ ਕਈ ਟਰੱਸਟ ਐਂਕਰਾਂ ਦੇ ਨਾਲ ਪੇਸ਼ ਕਰ ਸਕਦਾ ਹੈ ਜਿਸਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ।

ਅਸਫਲਤਾ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ ਇੱਕ ਹੱਲ ਵਜੋਂ, ਸਿਸਟਮ ਸਟੋਰੇਜ (/etc/ca-certificates.conf ਅਤੇ /etc/ssl/certs) ਤੋਂ "DST ਰੂਟ CA X3" ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਮਿਟਾਉਣ ਦਾ ਪ੍ਰਸਤਾਵ ਹੈ, ਅਤੇ ਫਿਰ "update" ਕਮਾਂਡ ਚਲਾਓ। -ca-ਸਰਟੀਫਿਕੇਟ -f -v"")। CentOS ਅਤੇ RHEL 'ਤੇ, ਤੁਸੀਂ ਬਲੈਕਲਿਸਟ ਵਿੱਚ “DST ਰੂਟ CA X3” ਸਰਟੀਫਿਕੇਟ ਸ਼ਾਮਲ ਕਰ ਸਕਦੇ ਹੋ: ਟਰੱਸਟ ਡੰਪ —ਫਿਲਟਰ “pkcs11:id=%c4%a7%b1%a4%7b%2c%71%fa%db%e1% 4b%90 %75%ff%c4%15%60%85%89%10" | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract

ਕੁਝ ਕਰੈਸ਼ ਜੋ ਅਸੀਂ ਵੇਖੇ ਹਨ ਜੋ IdenTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਪੁੱਗਣ ਤੋਂ ਬਾਅਦ ਆਈਆਂ ਹਨ:

• OpenBSD ਵਿੱਚ, syspatch ਉਪਯੋਗਤਾ, ਬਾਈਨਰੀ ਸਿਸਟਮ ਅੱਪਡੇਟ ਇੰਸਟਾਲ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ, ਨੇ ਕੰਮ ਕਰਨਾ ਬੰਦ ਕਰ ਦਿੱਤਾ ਹੈ। OpenBSD ਪ੍ਰੋਜੈਕਟ ਨੇ ਅੱਜ ਤੁਰੰਤ 6.8 ਅਤੇ 6.9 ਬ੍ਰਾਂਚਾਂ ਲਈ ਪੈਚ ਜਾਰੀ ਕੀਤੇ ਹਨ ਜੋ LibreSSL ਵਿੱਚ ਕਰਾਸ-ਹਸਤਾਖਰਿਤ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਨਾਲ ਸਮੱਸਿਆਵਾਂ ਨੂੰ ਹੱਲ ਕਰਦੇ ਹਨ, ਜਿਸ ਦੀ ਟਰੱਸਟ ਲੜੀ ਵਿੱਚ ਰੂਟ ਸਰਟੀਫਿਕੇਟਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੀ ਮਿਆਦ ਪੁੱਗ ਗਈ ਹੈ। ਸਮੱਸਿਆ ਦੇ ਹੱਲ ਵਜੋਂ, /etc/installurl ਵਿੱਚ HTTPS ਤੋਂ HTTP ਵਿੱਚ ਬਦਲਣ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ (ਇਸ ਨਾਲ ਸੁਰੱਖਿਆ ਨੂੰ ਖ਼ਤਰਾ ਨਹੀਂ ਹੁੰਦਾ, ਕਿਉਂਕਿ ਅੱਪਡੇਟ ਇੱਕ ਡਿਜੀਟਲ ਦਸਤਖਤ ਦੁਆਰਾ ਵੀ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦੇ ਹਨ) ਜਾਂ ਇੱਕ ਵਿਕਲਪਕ ਮਿਰਰ (ftp.usa.openbsd) ਚੁਣੋ। org, ftp.hostserver.de, cdn.openbsd.org)। ਤੁਸੀਂ /etc/ssl/cert.pem ਫਾਈਲ ਤੋਂ ਮਿਆਦ ਪੁੱਗ ਚੁੱਕੇ DST ਰੂਟ CA X3 ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਵੀ ਹਟਾ ਸਕਦੇ ਹੋ।
• DragonFly BSD ਵਿੱਚ, DPports ਨਾਲ ਕੰਮ ਕਰਦੇ ਸਮੇਂ ਅਜਿਹੀਆਂ ਸਮੱਸਿਆਵਾਂ ਦੇਖੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। pkg ਪੈਕੇਜ ਮੈਨੇਜਰ ਨੂੰ ਸ਼ੁਰੂ ਕਰਨ ਵੇਲੇ, ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਗਲਤੀ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ। ਫਿਕਸ ਨੂੰ ਅੱਜ ਮਾਸਟਰ, DragonFly_RELEASE_6_0 ਅਤੇ DragonFly_RELEASE_5_8 ਸ਼ਾਖਾਵਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਸੀ। ਇੱਕ ਹੱਲ ਵਜੋਂ, ਤੁਸੀਂ DST ਰੂਟ CA X3 ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਹਟਾ ਸਕਦੇ ਹੋ।
• ਇਲੈਕਟ੍ਰੋਨ ਪਲੇਟਫਾਰਮ 'ਤੇ ਆਧਾਰਿਤ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ Let's Encrypt ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਟੁੱਟ ਗਈ ਹੈ। ਸਮੱਸਿਆ ਨੂੰ ਅੱਪਡੇਟ 12.2.1, 13.5.1, 14.1.0, 15.1.0 ਵਿੱਚ ਹੱਲ ਕੀਤਾ ਗਿਆ ਸੀ।
• GnuTLS ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਨਾਲ ਸੰਬੰਧਿਤ APT ਪੈਕੇਜ ਮੈਨੇਜਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਕੁਝ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ ਨੂੰ ਪੈਕੇਜ ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਆਉਂਦੀਆਂ ਹਨ। ਡੇਬੀਅਨ 9 ਸਮੱਸਿਆ ਨਾਲ ਪ੍ਰਭਾਵਿਤ ਹੋਇਆ ਸੀ, ਜਿਸ ਨੇ ਇੱਕ ਅਣਪੈਚ ਕੀਤੇ GnuTLS ਪੈਕੇਜ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਸੀ, ਜਿਸ ਨਾਲ ਉਹਨਾਂ ਉਪਭੋਗਤਾਵਾਂ ਲਈ deb.debian.org ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਦੌਰਾਨ ਸਮੱਸਿਆਵਾਂ ਪੈਦਾ ਹੋਈਆਂ ਸਨ ਜਿਨ੍ਹਾਂ ਨੇ ਸਮੇਂ ਵਿੱਚ ਅੱਪਡੇਟ ਨੂੰ ਇੰਸਟਾਲ ਨਹੀਂ ਕੀਤਾ ਸੀ (gnutls28-3.5.8-5+deb9u6 ਫਿਕਸ ਦੀ ਪੇਸ਼ਕਸ਼ ਕੀਤੀ ਗਈ ਸੀ। 17 ਸਤੰਬਰ ਨੂੰ) ਇੱਕ ਹੱਲ ਵਜੋਂ, DST_Root_CA_X3.crt ਨੂੰ /etc/ca-certificates.conf ਫਾਈਲ ਤੋਂ ਹਟਾਉਣ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।
• OPNsense ਫਾਇਰਵਾਲ ਬਣਾਉਣ ਲਈ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਕਿੱਟ ਵਿੱਚ ਐਕਮੇ-ਕਲਾਇੰਟ ਦੀ ਕਾਰਵਾਈ ਵਿੱਚ ਵਿਘਨ ਪਿਆ ਸੀ, ਪਰ ਡਿਵੈਲਪਰਾਂ ਨੇ ਸਮੇਂ ਵਿੱਚ ਇੱਕ ਪੈਚ ਜਾਰੀ ਕਰਨ ਦਾ ਪ੍ਰਬੰਧ ਨਹੀਂ ਕੀਤਾ ਸੀ।
• ਸਮੱਸਿਆ ਨੇ RHEL/CentOS 1.0.2 ਵਿੱਚ OpenSSL 7k ਪੈਕੇਜ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ, ਪਰ ਇੱਕ ਹਫ਼ਤਾ ਪਹਿਲਾਂ RHEL 7 ਅਤੇ CentOS 7 ਲਈ ca-certificates-2021.2.50-72.el7_9.noarch ਪੈਕੇਜ ਲਈ ਇੱਕ ਅੱਪਡੇਟ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਤੋਂ IdenTrust ਸਰਟੀਫਿਕੇਟ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਜਿਵੇਂ ਕਿ ਸਮੱਸਿਆ ਦੇ ਪ੍ਰਗਟਾਵੇ ਨੂੰ ਪਹਿਲਾਂ ਹੀ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਸੀ. ਉਬੰਤੂ 16.04, ਉਬੰਤੂ 14.04, ਉਬੰਤੂ 21.04, ਉਬੰਤੂ 20.04 ਅਤੇ ਉਬੰਤੂ 18.04 ਲਈ ਇੱਕ ਹਫ਼ਤਾ ਪਹਿਲਾਂ ਇਸੇ ਤਰ੍ਹਾਂ ਦਾ ਅਪਡੇਟ ਪ੍ਰਕਾਸ਼ਤ ਕੀਤਾ ਗਿਆ ਸੀ। ਕਿਉਂਕਿ ਅੱਪਡੇਟ ਪਹਿਲਾਂ ਤੋਂ ਜਾਰੀ ਕੀਤੇ ਗਏ ਸਨ, ਲੈਟਸ ਇਨਕ੍ਰਿਪਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਜਾਂਚ ਕਰਨ ਵਿੱਚ ਸਮੱਸਿਆ ਨੇ ਸਿਰਫ਼ RHEL/CentOS ਅਤੇ Ubuntu ਦੀਆਂ ਪੁਰਾਣੀਆਂ ਸ਼ਾਖਾਵਾਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ ਜੋ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਅੱਪਡੇਟ ਸਥਾਪਤ ਨਹੀਂ ਕਰਦੇ ਹਨ।
• grpc ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਪ੍ਰਕਿਰਿਆ ਟੁੱਟ ਗਈ ਹੈ।
• Cloudflare ਪੰਨੇ ਪਲੇਟਫਾਰਮ ਬਿਲਡ ਅਸਫਲ ਰਿਹਾ।
• ਐਮਾਜ਼ਾਨ ਵੈੱਬ ਸੇਵਾਵਾਂ (AWS) ਵਿੱਚ ਮੁੱਦੇ।
• DigitalOcean ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਡੇਟਾਬੇਸ ਨਾਲ ਜੁੜਨ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਹਨ।
• Netlify ਕਲਾਉਡ ਪਲੇਟਫਾਰਮ ਕ੍ਰੈਸ਼ ਹੋ ਗਿਆ ਹੈ।
• Xero ਸੇਵਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ।
• ਮੇਲਗਨ ਸੇਵਾ ਦੇ ਵੈੱਬ API ਨਾਲ ਇੱਕ TLS ਕਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਅਸਫਲ ਰਹੀ।
• macOS ਅਤੇ iOS (11, 13, 14) ਦੇ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਕਰੈਸ਼, ਜੋ ਸਿਧਾਂਤਕ ਤੌਰ 'ਤੇ ਸਮੱਸਿਆ ਨਾਲ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ ਸੀ।
• ਕੈਚਪੁਆਇੰਟ ਸੇਵਾਵਾਂ ਅਸਫਲ ਰਹੀਆਂ।
• ਪੋਸਟਮੈਨ API ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਵੇਲੇ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਵਿੱਚ ਗਲਤੀ।
• ਗਾਰਡੀਅਨ ਫਾਇਰਵਾਲ ਕਰੈਸ਼ ਹੋ ਗਿਆ ਹੈ।
• monday.com ਸਹਾਇਤਾ ਪੰਨਾ ਟੁੱਟ ਗਿਆ ਹੈ।
• Cerb ਪਲੇਟਫਾਰਮ ਕਰੈਸ਼ ਹੋ ਗਿਆ ਹੈ।
• ਗੂਗਲ ਕਲਾਉਡ ਨਿਗਰਾਨੀ ਵਿੱਚ ਅਪਟਾਈਮ ਜਾਂਚ ਅਸਫਲ ਰਹੀ।
• Cisco Umbrella Secure Web Gateway ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਨਾਲ ਮੁੱਦਾ।
• ਬਲੂਕੋਟ ਅਤੇ ਪਾਲੋ ਆਲਟੋ ਪ੍ਰੌਕਸੀਆਂ ਨਾਲ ਜੁੜਨ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ।
• OVHcloud ਨੂੰ OpenStack API ਨਾਲ ਜੁੜਨ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਆ ਰਹੀਆਂ ਹਨ।
• Shopify ਵਿੱਚ ਰਿਪੋਰਟਾਂ ਬਣਾਉਣ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ।
• Heroku API ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਹਨ।
• ਲੇਜ਼ਰ ਲਾਈਵ ਮੈਨੇਜਰ ਕ੍ਰੈਸ਼ ਹੋ ਗਿਆ।
• Facebook ਐਪ ਡਿਵੈਲਪਰ ਟੂਲਸ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਪੁਸ਼ਟੀਕਰਨ ਗੜਬੜ।
• Sophos SG UTM ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ।
• cPanel ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਨਾਲ ਸਮੱਸਿਆਵਾਂ।

ਸਰੋਤ: opennet.ru