{"id":83443,"date":"2020-05-31T13:42:09","date_gmt":"2020-05-31T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls"},"modified":"2020-05-31T13:42:09","modified_gmt":"2020-05-31T11:42:09","slug":"ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","title":{"rendered":"Prestarza\u0142o\u015b\u0107 g\u0142\u00f3wnego certyfikatu AddTrust prowadzi\u0142a do awarii w systemach opartych na OpenSSL i GnuTLS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

30 maja wyga\u015bni\u0119cie 20-letniego okresu wa\u017cno\u015bci certyfikatu root. AddTrust<\/a><\/noindex>, kt\u00f3ry u\u017cywano<\/a><\/noindex> w celu stworzenia podpisu krzy\u017cowego (cross-signed) w certyfikatach jednego z najwi\u0119kszych urz\u0119d\u00f3w certyfikacyjnych Sectigo (Comodo). Podpis krzy\u017cowy zapewnia\u0142 kompatybilno\u015b\u0107 z przestarza\u0142ymi urz\u0105dzeniami, w kt\u00f3rych magazynie certyfikat\u00f3w g\u0142\u00f3wnych nie dodano nowego certyfikatu root USERTrust. <\/p>\n

\"Prestarza\u0142o\u015b\u0107<\/a><\/noindex><\/center><\/p>\n

Teoretycznie wyga\u015bni\u0119cie certyfikatu root AddTrust powinno skutkowa\u0107 jedynie utrat\u0105 kompatybilno\u015bci z przestarza\u0142ymi systemami (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9 itp.), poniewa\u017c drugi certyfikat root, wykorzystywany w podpisie krzy\u017cowym, pozostaje aktualny, a nowoczesne przegl\u0105darki bior\u0105 go pod uwag\u0119 przy weryfikacji \u0142a\u0144cucha zaufania. W praktyce pojawi\u0142y si\u0119<\/a><\/noindex> problemy z weryfikacj\u0105 podpisu krzy\u017cowego w nieu\u017cywaj\u0105cych przegl\u0105darek klientach TLS, w tym tych opartych na OpenSSL 1.0.x i GnuTLS. Bezpieczne po\u0142\u0105czenie przesta\u0142o by\u0107 nawi\u0105zywane z komunikatem o b\u0142\u0119dzie zwi\u0105zanym ze staro\u015bci\u0105 certyfikatu, je\u015bli na serwerze u\u017cyto certyfikatu Sectigo, powi\u0105zanego \u0142a\u0144cuchem zaufania z certyfikatem root AddTrust.<\/p>\n

Je\u015bli u\u017cytkownicy nowoczesnych przegl\u0105darek nie zauwa\u017cyli wyga\u015bni\u0119cia certyfikatu root AddTrust przy obs\u0142udze certyfikat\u00f3w podpisanych krzy\u017cowo przez Sectigo, to w r\u00f3\u017cnych aplikacjach zewn\u0119trznych i serwerowych wyst\u0105pi\u0142y problemy, co doprowadzi\u0142o do naruszeniu<\/a><\/noindex> dzia\u0142ania<\/a><\/noindex> wielu infrastruktur, kt\u00f3re korzystaj\u0105 z szyfrowanych kana\u0142\u00f3w komunikacyjnych do interakcji mi\u0119dzy komponentami. <\/p>\n

Na przyk\u0142ad wyst\u0105pi\u0142y problemy<\/a><\/noindex> z dost\u0119pem do niekt\u00f3rych repozytori\u00f3w pakiet\u00f3w w Debianie i Ubuntu (apt zaczyna zg\u0142asza\u0107 b\u0142\u0105d weryfikacji certyfikatu), zako\u0144czono niepowodzeniem wywo\u0142ania z skrypt\u00f3w za pomoc\u0105 narz\u0119dzi \u201ecurl\u201d i \u201ewget\u201d, obserwuje si\u0119 b\u0142\u0119dy podczas korzystania z Git, zak\u0142\u00f3ci\u0142y si\u0119<\/a><\/noindex> dzia\u0142ania platformy streamingu Roku, przesta\u0142y dzia\u0142a\u0107 procedury Stripe<\/a><\/noindex> i DataDog<\/a><\/noindex>, zacz\u0119\u0142y pojawia\u0107 si\u0119 awarie<\/a><\/noindex> w aplikacjach Heroku, przesta\u0142y<\/a><\/noindex> \u0142\u0105czy\u0107 si\u0119 klienci OpenLDAP, zauwa\u017cono problemy z wysy\u0142aniem wiadomo\u015bci do serwer\u00f3w SMTPS i SMTP z STARTTLS. Dodatkowo zaobserwowano problemy w r\u00f3\u017cnych skryptach Ruby, PHP i Python, kt\u00f3re korzysta\u0142y z modu\u0142u z klientem http. Z przegl\u0105darek problem rozwi\u0105za\u0144 opartych na otwartym stosie UPnP<\/a><\/noindex> Epiphany, w kt\u00f3rej przesta\u0142y si\u0119 \u0142adowa\u0107 listy blokad reklam.<\/p>\n

Programy napisane w j\u0119zyku Go nie s\u0105 nara\u017cone na problem, poniewa\u017c w Go oferuje si\u0119 w\u0142asn\u0105 implementacj\u0119<\/a><\/noindex> TLS.<\/p>\n

Zak\u0142adaj\u0105c<\/a><\/noindex>, \u017ce problem dotyczy starych wyda\u0144 dystrybucji (w tym Debian 9, Ubuntu 16.04, RHEL 6\/7<\/a><\/noindex>) w kt\u00f3rych u\u017cywane s\u0105 problematyczne ga\u0142\u0119zie OpenSSL, ale problem zosta\u0142 ujawniony<\/a><\/noindex> r\u00f3wnie\u017c podczas pracy mened\u017cera pakiet\u00f3w APT w aktualnych wydaniach Debiana 10 i Ubuntu 18.04\/20.04, poniewa\u017c APT korzysta z biblioteki GnuTLS. Istota problemu polega na tym, \u017ce wiele bibliotek TLS\/SSL interpretuje certyfikat jako liniowy ci\u0105g, podczas gdy zgodnie z RFC 4158 certyfikat mo\u017ce przedstawia\u0107 ukierunkowany rozproszony cykliczny graf z wieloma punktami zaufania, kt\u00f3re nale\u017cy wzi\u0105\u0107 pod uwag\u0119. O tym niedopatrzeniu w OpenSSL i GnuTLS by\u0142o<\/a><\/noindex> wiadomo<\/a><\/noindex> m\u00f3wi si\u0119 od wielu lat<\/a><\/noindex>. W OpenSSL problem zosta\u0142 rozwi\u0105zany w ga\u0142\u0119zi 1.1.1, a w GnuTLS<\/a><\/noindex> pozostaje niesprawionej<\/a><\/noindex>.<\/p>\n

jako spos\u00f3b obej\u015bcia problemu sugeruje si\u0119 usuni\u0119cie z systemowego magazynu certyfikatu \u201eAddTrust External CA Root\u201d (na przyk\u0142ad usuni\u0119cie z \/etc\/ca-certificates.conf i \/etc\/ssl\/certs, a nast\u0119pnie uruchomienie \u201eupdate-ca-certificates -f -v\u201d), po czym OpenSSL zaczyna normalnie obs\u0142ugiwa\u0107 krzy\u017cowo podpisane certyfikaty z jego udzia\u0142em. Przy u\u017cyciu mened\u017cera pakiet\u00f3w APT na w\u0142asne ryzyko mo\u017cna wy\u0142\u0105czy\u0107 weryfikacj\u0119 certyfikat\u00f3w dla poszczeg\u00f3lnych \u017c\u0105da\u0144 (na przyk\u0142ad \u201eapt-get update -o Acquire::https::download.jitsi.org::Verify-Peer=false\u201d). <\/p>\n

Aby zablokowa\u0107 problem w Fedora<\/a><\/noindex> i RHEL<\/a><\/noindex> zaleca si\u0119 dodanie certyfikatu AddTrust do czarnej listy:<\/p>\n

trust dump \u2014filter \u201epkcs11:id=;type=cert\u201d \\
\n > \/etc\/pki\/ca-trust\/source\/blacklist\/addtrust-external-root.p11-kit
\n update-ca-trust extract<\/p>\n

Jednak ten spos\u00f3b nie dzia\u0142a<\/a><\/noindex> dla GnuTLS (na przyk\u0142ad nadal wyst\u0119puje b\u0142\u0105d weryfikacji certyfikatu przy uruchamianiu narz\u0119dzia wget).<\/p>\n

Po stronie serwera mo\u017cna zmieni\u0107<\/a><\/noindex> kolejno\u015b\u0107<\/a><\/noindex> wylistowanie certyfikat\u00f3w w \u0142a\u0144cuchu zaufania, wysy\u0142anych przez serwer do klienta (je\u015bli certyfikat zwi\u0105zany z \u201eAddTrust External CA Root\u201d zostanie usuni\u0119ty z listy, to weryfikacja przez klienta zako\u0144czy si\u0119 pomy\u015blnie). Aby zweryfikowa\u0107 i wygenerowa\u0107 nowy \u0142a\u0144cuch zaufania, mo\u017cna skorzysta\u0107 z us\u0142ugi whatsmychaincert.com<\/a><\/noindex>. Firma Sectigo r\u00f3wnie\u017c przekaza\u0142a<\/a><\/noindex> alternatywny krzy\u017cowo podpisany certyfikat po\u015bredni \u201eAAA Certificate Services<\/a><\/noindex>\u201e, kt\u00f3ry b\u0119dzie wa\u017cny do 2028 roku i pozwoli na zachowanie zgodno\u015bci ze starszymi wersjami systemu operacyjnego.<\/p>\n

Uzupe\u0142nienie: Problem tak\u017ce objawia si\u0119<\/a><\/noindex> w LibreSSL.<\/p>\n

<\/a><\/noindex><\/p>\n

\u0179r\u00f3d\u0142o: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u043b\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438 (cross-signed) \u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u0445 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0438\u0445 \u0446\u0435\u043d\u0442\u0440\u043e\u0432 Sectigo (Comodo). \u041f\u0435\u0440\u0435\u043a\u0440\u0451\u0441\u0442\u043d\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u043c\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0432 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0435 \u0431\u044b\u043b \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u043d\u043e\u0432\u044b\u0439 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 USERTRust. \u0422\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0432\u0435\u0441\u0442\u0438 \u043b\u0438\u0448\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":83444,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-83443","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Degradacja certyfikatu g\u0142\u00f3wnego AddTrust spowodowa\u0142a awarie w systemach z OpenSSL i GnuTLS | ProHoster","description":"30 maja wygas\u0142 20-letni termin wa\u017cno\u015bci certyfikatu g\u0142\u00f3wnego AddTrust, kt\u00f3ry","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u0442\u0430\u0440\u0435\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust \u043f\u0440\u0438\u0432\u0435\u043b\u043e \u043a \u0441\u0431\u043e\u044f\u043c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u0441 OpenSSL \u0438 GnuTLS | ProHoster","og:description":"30 \u043c\u0430\u044f \u0438\u0441\u0442\u0451\u043a 20-\u043b\u0435\u0442\u043d\u0438\u0439 \u0441\u0440\u043e\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 AddTrust, \u043a\u043e\u0442\u043e\u0440\u044b\u0439","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/ustarevanie-kornevogo-sertifikata-addtrust-privelo-k-sboyam-v-sistemah-s-openssl-i-gnutls","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-31T11:42:09+00:00","article:modified_time":"2020-05-31T11:42:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"83443","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:17:29","updated":"2022-09-28 18:33:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/83443","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=83443"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/83443\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/83444"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=83443"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=83443"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=83443"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}