30. septembra ob 17:01 po moskovskem času poteče življenjska doba korenskega certifikata podjetja IdenTrust (DST Root CA X3), ki je bil uporabljen za medsebojno podpisovanje korenskega certifikata overitelja Let’s Encrypt (ISRG Root X1), ki ga nadzoruje skupnost in nudi certifikate brezplačno vsem zainteresiranim. Medsebojno podpisovanje je zagotavljalo zaupanje v certifikate Let’s Encrypt na širokem spektru naprav, operacijskih sistemov in brskalnikov v času integracije lastnega korenskega certifikata Let’s Encrypt v skladišča korenskih certifikatov.
Sprva je bilo načrtovano, da bo po poteku DST Root CA X3 projekt Let’s Encrypt prešel na podpisovanje z uporabo samo svojega korenskega certifikata, vendar bi ta korak povzročil izgubo združljivosti z velikim številom starejših sistemov, ki v svojih skladiščih niso dodali korenskega certifikata Let’s Encrypt. Zlasti približno 30 % uporabnikov Android naprav nima podatkov o korenskem certifikatu Let’s Encrypt, ki je bil na voljo šele od različice Android 7.1.1, izdane konec leta 2016.
Let’s Encrypt ni nameraval skleniti novega sporazuma o medsebojnem podpisovanju, saj to nalaga dodatno odgovornost udeležencem sporazuma, odvzema samostojnost in omejuje zmožnost upoštevanja vseh postopkov in pravil drugega overitelja. Vendar je bila zaradi morebitnih težav na številnih Android napravah ta načrt ponovno preučen. S overiteljem IdenTrust je bil sklenjen nov sporazum, na podlagi katerega je bil ustvarjen alternativni medsebojno podpisani vmesni certifikat Let’s Encrypt. Medsebojno podpisovanje bo veljalo tri leta in omogočilo ohranitev podpore za Android naprave, od različice 2.3.6 naprej.
Kljub temu nov vmesni certifikat ne pokriva mnogih drugih zastarelih sistemov. Na primer, po poteku certifikata DST Root CA X3 30. septembra certifikati Let’s Encrypt ne bodo več veljavili v že nepodprtih različicah programske opreme in operacijskih sistemih, kjer bo za zagotovitev zaupanja v certifikate Let’s Encrypt potrebno ročno dodati certifikat ISRG Root X1 v skladišče korenskih certifikatov. Težave se bodo pojavljale v:
- OpenSSL do veje 1.0.2 vključno (podpora za veje 1.0.2 je bila prenehana decembra 2019);
- NSS < 3.26;
- Java 8 < 8u141, Java 7 < 7u151;
- Windows < XP SP3;
- macOS < 10.12.1;
- iOS < 10 (iPhone < 5);
- Android < 2.3.6;
- Mozilla Firefox < 50;
- Ubuntu < 16.04;
- Debian < 8.
V primeru OpenSSL 1.0.2, je težava posledica napake, ki onemogoča pravilno obravnavo medsebojno podpisanih potrdil, v primeru zastaranja enega od vračunskih potrdil, uporabljenih pri podpisu, tudi če ostanejo druge veljavne verige zaupanja. Težava se je prvič pojavila lani po zastaranju potrdila AddTrust, ki se je uporabljalo za medsebojno podpisovanje v potrdilih pooblastila Sectigo (Comodo). Bistvo težave je, da je OpenSSL obravnaval potrdilo kot linearno verigo, medtem ko lahko potrdilo v skladu z RFC 4158 predstavlja usmerjen razdeljen ciklični graf z več točkami zaupanja, ki jih je treba upoštevati.
Uporabnikom starejših distribucij, povezanih z OpenSSL 1.0.2, so predlagane tri obvodne možnosti za rešitev težave:
- Ročno odstranite vračunsko potrdilo IdenTrust DST Root CA X3 in namestite ločeno (ne medsebojno podpisano) vračunsko potrdilo ISRG Root X1.
- Pri zagonu ukazov openssl verify in s_client lahko navedete opcijo „—trusted_first“.
- Uporabite na strežnikom potrdilo, overjeno z ločenim vračunskim potrdilom SRG Root X1, ki nima medsebojnega podpisa. Omenjeni način bo povzročil izgubo združljivosti s starimi Android odjemalci.
Dodatno lahko omenimo, da je projekt Let’s Encrypt prešel mejo dveh milijard ustvarjenih potrdil. Meja enega milijarda je bila dosežena februarja lani. Vsak dan se ustvari 2.2-2.4 milijona novih potrdil. Število aktivnih potrdil znaša 192 milijonov (potrdilo velja tri mesece) in pokriva približno 260 milijonov domena (pred enim letom je bilo pokritih 195 milijonov domen, pred dvema letoma – 150 milijonov, pred tremi leti – 60 milijonov). Po statistiki servisa Firefox Telemetry svetovni delež zahtevkov po HTTP zahtevah znaša 82% (pred enim letom – 81%, pred dvema letoma – 77%, pred tremi leti – 69%, pred štirimi leti – 58%).
Izvor: opennet.ru
