{"id":101490,"date":"2021-10-01T16:22:46","date_gmt":"2021-10-01T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust"},"modified":"2021-10-01T16:22:46","modified_gmt":"2021-10-01T14:22:46","slug":"sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust","title":{"rendered":"B\u0142\u0119dy w OpenBSD, DragonFly BSD i Electron z powodu wyga\u015bni\u0119cia g\u0142\u00f3wnego certyfikatu IdenTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Wstrzymanie dzia\u0142ania certyfikatu g\u0142\u00f3wnego firmy IdenTrust (DST Root CA X3), u\u017cywanego do krzy\u017cowego podpisywania certyfikatu g\u0142\u00f3wnego centrum certyfikacji Let's Encrypt, doprowadzi\u0142o do problem\u00f3w z weryfikacj\u0105 certyfikat\u00f3w Let's Encrypt w projektach korzystaj\u0105cych ze starych wersji OpenSSL i GnuTLS. Problemy te dotkn\u0119\u0142y r\u00f3wnie\u017c bibliotek\u0119 LibreSSL, kt\u00f3rej deweloperzy nie uwzgl\u0119dnili wcze\u015bniejszych do\u015bwiadcze\u0144 zwi\u0105zanych z awariami, kt\u00f3re wyst\u0105pi\u0142y po wyga\u015bni\u0119ciu certyfikatu g\u0142\u00f3wnego AddTrust centrum certyfikacji Sectigo (Comodo). <\/p>\n
Przypominamy, \u017ce w wydaniach OpenSSL do wersji 1.0.2 w\u0142\u0105cznie oraz w GnuTLS do wersji 3.6.14 wyst\u0119powa\u0142 b\u0142\u0105d, kt\u00f3ry uniemo\u017cliwia\u0142 poprawne przetwarzanie krzy\u017cowo podpisanych certyfikat\u00f3w w przypadku wyga\u015bni\u0119cia jednego z certyfikat\u00f3w g\u0142\u00f3wnych u\u017cytych do podpisu, nawet je\u015bli zachowywano inne wa\u017cne \u0142a\u0144cuchy zaufania (w przypadku Let's Encrypt wyga\u015bni\u0119cie certyfikatu g\u0142\u00f3wnego IdenTrust uniemo\u017cliwia weryfikacj\u0119, nawet je\u015bli w systemie znajduje si\u0119 wsparcie dla w\u0142asnego certyfikatu g\u0142\u00f3wnego Let's Encrypt, kt\u00f3ry jest wa\u017cny do 2030 roku). Istot\u0105 b\u0142\u0119du jest to, \u017ce stare wersje OpenSSL i GnuTLS analizowa\u0142y certyfikat jako liniowy \u0142a\u0144cuch, podczas gdy zgodnie z RFC 4158 certyfikat mo\u017ce reprezentowa\u0107 ukierunkowany, rozproszony graf cykliczny z wieloma w\u0119z\u0142ami zaufania, kt\u00f3re nale\u017cy wzi\u0105\u0107 pod uwag\u0119. <\/p>\n
Jako obej\u015bcie tego problemu zaleca si\u0119 usuni\u0119cie certyfikatu \u201eDST Root CA X3\u201d z lokalnego magazynu ( \/etc\/ca-certificates.conf i \/etc\/ssl\/certs), a nast\u0119pnie uruchomienie polecenia \u201eupdate-ca-certificates -f -v\u201d. W CentOS i RHEL mo\u017cna doda\u0107 certyfikat \u201eDST Root CA X3\u201d do czarnej listy: trust dump \u2014filter \u201epkcs11:id=\u201d | openssl x509 | sudo tee \/etc\/pki\/ca-trust\/source\/blacklist\/DST-Root-CA-X3.pem sudo update-ca-trust extract <\/ul>\n
Niekt\u00f3re z problem\u00f3w, kt\u00f3re wyst\u0105pi\u0142y po wyga\u015bni\u0119ciu certyfikatu g\u0142\u00f3wnego IdenTrust: <\/p>\n
\n
W OpenBSD przesta\u0142o dzia\u0142a\u0107 narz\u0119dzie syspatch, u\u017cywane do instalacji binarnych aktualizacji systemu. Projekt OpenBSD w trybie pilnym wyda\u0142 dzi\u015b \u0142atki dla ga\u0142\u0119zi 6.8 i 6.9, kt\u00f3re naprawiaj\u0105 problemy z weryfikacj\u0105 krzy\u017cowo podpisanych certyfikat\u00f3w w LibreSSL, w kt\u00f3rych jeden z g\u0142\u00f3wnych certyfikat\u00f3w w \u0142a\u0144cuchu zaufania jest przestarza\u0142y. Jako rozwi\u0105zanie obej\u015bciowe problemu zaleca si\u0119 w pliku \/etc\/installurl prze\u0142\u0105czenie z HTTPS na HTTP (nie zagra\u017ca to bezpiecze\u0144stwu, poniewa\u017c aktualizacje s\u0105 dodatkowo weryfikowane poprzez podpis cyfrowy) lub wyb\u00f3r alternatywnego lustra (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). Mo\u017cna r\u00f3wnie\u017c usun\u0105\u0107 przestarza\u0142y certyfikat g\u0142\u00f3wny DST Root CA X3 z pliku \/etc\/ssl\/cert.pem.\n
W DragonFly BSD podobne problemy wyst\u0119puj\u0105 podczas pracy z DPorts. Przy uruchamianiu mened\u017cera pakiet\u00f3w pkg pojawia si\u0119 b\u0142\u0105d weryfikacji certyfikatu. Naprawa zosta\u0142a dzi\u015b dodana do ga\u0142\u0119zi master, DragonFly_RELEASE_6_0 i DragonFly_RELEASE_5_8. Jako obej\u015bcie mo\u017cna usun\u0105\u0107 certyfikat DST Root CA X3.\n
Proces weryfikacji certyfikat\u00f3w Let's Encrypt w aplikacjach opartych na platformie Electron zosta\u0142 zak\u0142\u00f3cony. Problem zosta\u0142 rozwi\u0105zany w aktualizacjach 12.2.1, 13.5.1, 14.1.0, 15.1.0.\n
W niekt\u00f3rych dystrybucjach wyst\u0119puj\u0105 problemy z dost\u0119pem do repozytori\u00f3w pakiet\u00f3w przy u\u017cyciu mened\u017cera pakiet\u00f3w APT, zwi\u0105zane ze starymi wersjami biblioteki GnuTLS. Problem dotkn\u0105\u0142 Debiana 9, w kt\u00f3rym zastosowano niepoprawiony pakiet GnuTLS, co doprowadzi\u0142o do problem\u00f3w w dost\u0119pie do deb.debian.org u u\u017cytkownik\u00f3w, kt\u00f3rzy nie zainstalowali aktualizacji na czas (poprawka gnutls28-3.5.8-5+deb9u6 zosta\u0142a zaproponowana 17 wrze\u015bnia). Jako obej\u015bcie problemu zaleca si\u0119 usuni\u0119cie DST_Root_CA_X3.crt z pliku \/etc\/ca-certificates.conf.\n
Zaburzona zosta\u0142a praca acme-clienta w dystrybucji do tworzenia zap\u00f3r sieciowych OPNsense, o problemie poinformowano wcze\u015bniej, ale deweloperzy nie zd\u0105\u017cyli na czas wyda\u0107 \u0142atki.\n
Problem dotyczy\u0142o pakietu OpenSSL 1.0.2k w RHEL\/CentOS 7, ale tydzie\u0144 temu dla RHEL 7 i CentOS 7 zosta\u0142a wydana aktualizacja pakietu ca-certificates-2021.2.50-72.el7_9.noarch, z kt\u00f3rego usuni\u0119to certyfikat IdenTrust, tj. objaw problemu zosta\u0142 zablokowany z wyprzedzeniem. Podobna aktualizacja tydzie\u0144 temu zosta\u0142a opublikowana dla Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 i Ubuntu 18.04. Poniewa\u017c aktualizacje zosta\u0142y wydane z wyprzedzeniem, problem z weryfikacj\u0105 certyfikat\u00f3w Let's Encrypt dotkn\u0105\u0142 jedynie u\u017cytkownik\u00f3w starych wersji RHEL\/CentOS i Ubuntu, kt\u00f3rzy nie instalowali regularnie aktualizacji.\n
Zaburzony proces weryfikacji certyfikat\u00f3w w grpc.\n
B\u0142\u0105d przy budowie platformy Cloudflare Pages.\n
Problemy w Amazon Web Services (AWS).\n
Problemy z po\u0142\u0105czeniem z baz\u0105 danych u\u017cytkownik\u00f3w DigitalOcean.\n
B\u0142\u0105d w dzia\u0142aniu chmurowej platformy Netlify.\n
Problemy z dost\u0119pem do us\u0142ug Xero.\n
B\u0142\u0105d przy pr\u00f3bie ustanowienia po\u0142\u0105czenia TLS z Web API us\u0142ugi MailGun.\n
B\u0142\u0119dy w wersjach macOS i iOS (11, 13, 14), kt\u00f3re teoretycznie problem nie powinien by\u0142 dotkn\u0105\u0107.\n
B\u0142\u0105d w us\u0142ugach Catchpoint.\n
B\u0142\u0105d weryfikacji certyfikat\u00f3w przy dost\u0119pie do API PostMan.\n
B\u0142\u0105d w dzia\u0142aniu Guardian Firewall.\n
Zak\u0142\u00f3cenia w pracy strony wsparcia monday.com.\n
B\u0142\u0105d w dzia\u0142aniu platformy Cerb.\n
B\u0142\u0105d przy weryfikacji uptime w Google Cloud Monitoring.\n
Problem z weryfikacj\u0105 certyfikat\u00f3w w Cisco Umbrella Secure Web Gateway.\n
Problemy z po\u0142\u0105czeniem z proxy Bluecoat i Palo Alto.\n
W OVHcloud wyst\u0105pi\u0142y problemy z po\u0142\u0105czeniem z OpenStack API.\n
Problemy z generowaniem raport\u00f3w w Shopify.\n
Obserwowane s\u0105 problemy przy dost\u0119pie do API Heroku.\n
B\u0142\u0105d w dzia\u0142aniu Ledger Live Manager.\n
B\u0142\u0105d weryfikacji certyfikatu w narz\u0119dziach dla deweloper\u00f3w aplikacji dla Facebooka.\n
Problemy w Sophos SG UTM.\n
Problemy z weryfikacj\u0105 certyfikat\u00f3w w cPanel. <\/ul>\n