AddTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਬਰਤਰਫ਼ ਕਰਨ ਨਾਲ OpenSSL ਅਤੇ GnuTLS ਸਿਸਟਮਾਂ 'ਤੇ ਕਰੈਸ਼ ਹੋ ਜਾਂਦੇ ਹਨ

30 ਮਈ ਨੂੰ, ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਦੀ 20-ਸਾਲ ਦੀ ਵੈਧਤਾ ਦੀ ਮਿਆਦ ਸਮਾਪਤ ਹੋ ਗਈ ਐਡ ਟਰੱਸਟ, ਜੋ ਕਿ ਲਾਗੂ ਕੀਤਾ ਸਭ ਤੋਂ ਵੱਡੇ ਪ੍ਰਮਾਣੀਕਰਣ ਅਥਾਰਟੀ ਸੇਕਟੀਗੋ (ਕੋਮੋਡੋ) ਦੇ ਇੱਕ ਕਰਾਸ-ਹਸਤਾਖਰਿਤ ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਣ ਲਈ। ਪੁਰਾਤਨ ਡਿਵਾਈਸਾਂ ਨਾਲ ਅਨੁਕੂਲਤਾ ਲਈ ਕ੍ਰਾਸ-ਸਾਈਨਿੰਗ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਗਈ ਹੈ ਜਿਨ੍ਹਾਂ ਕੋਲ ਨਵਾਂ USERTRust ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਆਪਣੇ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਸਟੋਰ ਵਿੱਚ ਸ਼ਾਮਲ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ।

ਸਿਧਾਂਤਕ ਤੌਰ 'ਤੇ, AddTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਸਮਾਪਤੀ ਸਿਰਫ ਪੁਰਾਤਨ ਪ੍ਰਣਾਲੀਆਂ (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, ਆਦਿ) ਨਾਲ ਅਨੁਕੂਲਤਾ ਦੀ ਉਲੰਘਣਾ ਵੱਲ ਲੈ ਜਾਂਦੀ ਹੈ, ਕਿਉਂਕਿ ਕਰਾਸ-ਹਸਤਾਖਰ ਵਿੱਚ ਵਰਤਿਆ ਜਾਣ ਵਾਲਾ ਦੂਜਾ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਰਹਿੰਦਾ ਹੈ। ਭਰੋਸੇਯੋਗ ਅਤੇ ਆਧੁਨਿਕ ਬ੍ਰਾਊਜ਼ਰ ਟਰੱਸਟ ਦੀ ਲੜੀ ਦੀ ਜਾਂਚ ਕਰਦੇ ਸਮੇਂ ਇਸ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹਨ। ਅਭਿਆਸ 'ਤੇ ਦਿਖਾਇਆ OpenSSL 1.0.x ਅਤੇ GnuTLS 'ਤੇ ਆਧਾਰਿਤ ਸਮੇਤ ਗੈਰ-ਬ੍ਰਾਊਜ਼ਰ TLS ਕਲਾਇੰਟਸ ਵਿੱਚ ਕਰਾਸ-ਦਸਤਖਤ ਤਸਦੀਕ ਨਾਲ ਸਮੱਸਿਆਵਾਂ। ਜੇਕਰ ਸਰਵਰ AddTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਨਾਲ ਟਰੱਸਟ ਦੀ ਇੱਕ ਲੜੀ ਦੁਆਰਾ ਲਿੰਕ ਕੀਤੇ Sectigo ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਰਤੋਂ ਕਰ ਰਿਹਾ ਹੈ ਤਾਂ ਇਹ ਦਰਸਾਉਣ ਵਾਲੀ ਇੱਕ ਗਲਤੀ ਨਾਲ ਇੱਕ ਸੁਰੱਖਿਅਤ ਕਨੈਕਸ਼ਨ ਸਥਾਪਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ।

ਜੇਕਰ ਆਧੁਨਿਕ ਬ੍ਰਾਊਜ਼ਰਾਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਨੇ ਕਰਾਸ-ਹਸਤਾਖਰਿਤ ਸੇਕਟੀਗੋ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ AddTrust ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਅਪ੍ਰਚਲਤਾ ਵੱਲ ਧਿਆਨ ਨਹੀਂ ਦਿੱਤਾ, ਤਾਂ ਵੱਖ-ਵੱਖ ਥਰਡ-ਪਾਰਟੀ ਐਪਲੀਕੇਸ਼ਨਾਂ ਅਤੇ ਸਰਵਰ-ਸਾਈਡ ਹੈਂਡਲਰਾਂ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਆਉਣੀਆਂ ਸ਼ੁਰੂ ਹੋ ਗਈਆਂ, ਜਿਸ ਕਾਰਨ ਉਲੰਘਣਾ работы ਬਹੁਤ ਸਾਰੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਜੋ ਕੰਪੋਨੈਂਟਾਂ ਵਿਚਕਾਰ ਆਪਸੀ ਤਾਲਮੇਲ ਲਈ ਐਨਕ੍ਰਿਪਟਡ ਸੰਚਾਰ ਚੈਨਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ।

ਉਦਾਹਰਨ ਲਈ, ਉੱਥੇ ਸਨ проблемы ਡੇਬੀਅਨ ਅਤੇ ਉਬੰਟੂ ਵਿੱਚ ਕੁਝ ਪੈਕੇਜ ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਦੇ ਨਾਲ (apt ਨੇ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਗਲਤੀ ਪੈਦਾ ਕਰਨੀ ਸ਼ੁਰੂ ਕੀਤੀ), “curl” ਅਤੇ “wget” ਉਪਯੋਗਤਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਸਕ੍ਰਿਪਟਾਂ ਤੋਂ ਬੇਨਤੀਆਂ ਅਸਫਲ ਹੋਣੀਆਂ ਸ਼ੁਰੂ ਹੋ ਗਈਆਂ, Git ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਗਲਤੀਆਂ ਵੇਖੀਆਂ ਗਈਆਂ, ਦੀ ਉਲੰਘਣਾ ਕੀਤੀ Roku ਸਟ੍ਰੀਮਿੰਗ ਪਲੇਟਫਾਰਮ ਕੰਮ ਕਰ ਰਿਹਾ ਹੈ, ਹੈਂਡਲਰ ਨੂੰ ਹੁਣ ਨਹੀਂ ਬੁਲਾਇਆ ਜਾਂਦਾ ਹੈ ਸਟਰਿਪ и ਡਾਟਾਡੌਗ, ਸ਼ੁਰੂ ਕੀਤਾ ਕਰੈਸ਼ ਹੁੰਦੇ ਹਨ Heroku ਐਪਸ ਵਿੱਚ, ਰੁਕ ਗਿਆ OpenLDAP ਕਲਾਇੰਟਸ ਕਨੈਕਟ ਹੁੰਦੇ ਹਨ, SMTPS ਅਤੇ SMTP ਸਰਵਰਾਂ ਨੂੰ STARTTLS ਨਾਲ ਮੇਲ ਭੇਜਣ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਦਾ ਪਤਾ ਲਗਾਇਆ ਜਾਂਦਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਕਈ ਰੂਬੀ, PHP ਅਤੇ ਪਾਈਥਨ ਸਕ੍ਰਿਪਟਾਂ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਵੇਖੀਆਂ ਜਾਂਦੀਆਂ ਹਨ ਜੋ ਇੱਕ http ਕਲਾਇੰਟ ਦੇ ਨਾਲ ਇੱਕ ਮੋਡੀਊਲ ਦੀ ਵਰਤੋਂ ਕਰਦੀਆਂ ਹਨ। ਬ੍ਰਾਊਜ਼ਰ ਸਮੱਸਿਆ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ ਏਪੀਫਨੀ, ਜਿਸ ਨੇ ਵਿਗਿਆਪਨ ਬਲੌਕਿੰਗ ਸੂਚੀਆਂ ਨੂੰ ਲੋਡ ਕਰਨਾ ਬੰਦ ਕਰ ਦਿੱਤਾ.

ਗੋ ਪ੍ਰੋਗਰਾਮ ਇਸ ਸਮੱਸਿਆ ਤੋਂ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੁੰਦੇ ਕਿਉਂਕਿ ਗੋ ਆਫਰ ਦਿੰਦਾ ਹੈ ਆਪਣੇ ਲਾਗੂ ਕਰਨ TLS।

ਇਹ ਮੰਨਿਆ ਗਿਆ ਸੀਕਿ ਸਮੱਸਿਆ ਪੁਰਾਣੀ ਡਿਸਟਰੀਬਿਊਸ਼ਨ ਰੀਲੀਜ਼ਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ (ਡੇਬੀਅਨ 9, ਉਬੰਟੂ 16.04 ਸਮੇਤ, RHEL 6/7) ਜੋ ਸਮੱਸਿਆ ਵਾਲੇ OpenSSL ਸ਼ਾਖਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਪਰ ਸਮੱਸਿਆ ਹੈ ਆਪਣੇ ਆਪ ਨੂੰ ਪ੍ਰਗਟ ਕੀਤਾ ਉਦੋਂ ਵੀ ਜਦੋਂ APT ਪੈਕੇਜ ਮੈਨੇਜਰ ਡੇਬੀਅਨ 10 ਅਤੇ ਉਬੰਟੂ 18.04/20.04 ਦੇ ਮੌਜੂਦਾ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਚੱਲ ਰਿਹਾ ਹੈ, ਕਿਉਂਕਿ APT GnuTLS ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਸਮੱਸਿਆ ਦੀ ਜੜ੍ਹ ਇਹ ਹੈ ਕਿ ਬਹੁਤ ਸਾਰੀਆਂ TLS/SSL ਲਾਇਬ੍ਰੇਰੀਆਂ ਇੱਕ ਲੀਨੀਅਰ ਚੇਨ ਦੇ ਤੌਰ 'ਤੇ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਪਾਰਸ ਕਰਦੀਆਂ ਹਨ, ਜਦੋਂ ਕਿ RFC 4158 ਦੇ ਅਨੁਸਾਰ, ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਇੱਕ ਤੋਂ ਵੱਧ ਟਰੱਸਟ ਐਂਕਰਾਂ ਦੇ ਨਾਲ ਇੱਕ ਨਿਰਦੇਸ਼ਿਤ ਵੰਡਿਆ ਸਰਕੂਲਰ ਗ੍ਰਾਫ ਦੀ ਨੁਮਾਇੰਦਗੀ ਕਰ ਸਕਦਾ ਹੈ ਜਿਸਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਣ ਦੀ ਲੋੜ ਹੈ। OpenSSL ਅਤੇ GnuTLS ਵਿੱਚ ਇਸ ਨੁਕਸ ਬਾਰੇ ਇਹ ਸੀ ਜਾਣਿਆ ਜਾਂਦਾ ਹੈ ਕਈ ਸਾਲਾਂ ਲਈ. OpenSSL ਵਿੱਚ ਸਮੱਸਿਆ ਨੂੰ ਸ਼ਾਖਾ 1.1.1 ਵਿੱਚ ਹੱਲ ਕੀਤਾ ਗਿਆ ਸੀ, ਅਤੇ ਵਿੱਚ gnuTLS ਰਹਿੰਦਾ ਹੈ ਗਲਤ.

ਇੱਕ ਹੱਲ ਵਜੋਂ, ਸਿਸਟਮ ਸਟੋਰ ਤੋਂ “AddTrust External CA Root” ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਹਟਾਉਣ ਦਾ ਸੁਝਾਅ ਦਿੱਤਾ ਗਿਆ ਹੈ (ਉਦਾਹਰਨ ਲਈ, /etc/ca-certificates.conf ਅਤੇ /etc/ssl/certs ਤੋਂ ਹਟਾਓ, ਅਤੇ ਫਿਰ “update-ca” ਚਲਾਓ। -ਸਰਟੀਫਿਕੇਟ -f -v"), ਜਿਸ ਤੋਂ ਬਾਅਦ OpenSSL ਆਮ ਤੌਰ 'ਤੇ ਆਪਣੀ ਭਾਗੀਦਾਰੀ ਨਾਲ ਕਰਾਸ-ਹਸਤਾਖਰਿਤ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ। APT ਪੈਕੇਜ ਮੈਨੇਜਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ, ਤੁਸੀਂ ਆਪਣੇ ਖੁਦ ਦੇ ਜੋਖਮ 'ਤੇ ਵਿਅਕਤੀਗਤ ਬੇਨਤੀਆਂ ਲਈ ਸਰਟੀਫਿਕੇਟ ਪੁਸ਼ਟੀਕਰਨ ਨੂੰ ਅਯੋਗ ਕਰ ਸਕਦੇ ਹੋ (ਉਦਾਹਰਨ ਲਈ, "apt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false") .

ਵਿੱਚ ਸਮੱਸਿਆ ਨੂੰ ਰੋਕਣ ਲਈ ਫੇਡੋਰਾ и RHEL ਬਲੈਕਲਿਸਟ ਵਿੱਚ AddTrust ਸਰਟੀਫਿਕੇਟ ਸ਼ਾਮਲ ਕਰਨ ਦਾ ਪ੍ਰਸਤਾਵ ਹੈ:

trust dump —filter «pkcs11:id=%AD%BD%98%7A%34%B4%26%F7%FA%C4%26%54%EF%03%BD%E0%24%CB%54%1A;type=cert» \
> /etc/pki/ca-trust/source/blacklist/addtrust-external-root.p11-kit
update-ca-trust ਐਬਸਟਰੈਕਟ

ਪਰ ਇਹ ਤਰੀਕਾ ਕੰਮ ਨਹੀ ਕਰਦਾ GnuTLS ਲਈ (ਉਦਾਹਰਨ ਲਈ, wget ਉਪਯੋਗਤਾ ਨੂੰ ਚਲਾਉਣ ਵੇਲੇ ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਗਲਤੀ ਜਾਰੀ ਰਹਿੰਦੀ ਹੈ)।

ਸਰਵਰ ਸਾਈਡ 'ਤੇ ਤੁਸੀਂ ਕਰ ਸਕਦੇ ਹੋ ਬਦਲਣ ਲਈ ਆਦੇਸ਼ ਸਰਵਰ ਦੁਆਰਾ ਗਾਹਕ ਨੂੰ ਭੇਜੀ ਗਈ ਟਰੱਸਟ ਚੇਨ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਸੂਚੀ ਬਣਾਉਣਾ (ਜੇਕਰ "ਐਡਟਰਸਟ ਬਾਹਰੀ CA ਰੂਟ" ਨਾਲ ਸੰਬੰਧਿਤ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਸੂਚੀ ਵਿੱਚੋਂ ਹਟਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਗਾਹਕ ਦੀ ਤਸਦੀਕ ਸਫਲ ਹੋਵੇਗੀ)। ਭਰੋਸੇ ਦੀ ਇੱਕ ਨਵੀਂ ਲੜੀ ਦੀ ਜਾਂਚ ਕਰਨ ਅਤੇ ਬਣਾਉਣ ਲਈ, ਤੁਸੀਂ ਸੇਵਾ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ whatsmychaincert.com. Sectigo ਵੀ ਪ੍ਰਦਾਨ ਕੀਤਾ ਵਿਕਲਪਕ ਅੰਤਰ-ਦਸਤਖਤ ਇੰਟਰਮੀਡੀਏਟ ਸਰਟੀਫਿਕੇਟ "ਏਏਏ ਸਰਟੀਫਿਕੇਟ ਸੇਵਾਵਾਂ", ਜੋ ਕਿ 2028 ਤੱਕ ਵੈਧ ਰਹੇਗਾ ਅਤੇ OS ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਨਾਲ ਅਨੁਕੂਲਤਾ ਬਣਾਈ ਰੱਖੇਗਾ।

ਜੋੜ: ਸਮੱਸਿਆ ਵੀ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ LibreSSL ਵਿੱਚ.

ਸਰੋਤ: opennet.ru