Prekinitev veljavnosti korenskega potrdila podjetja IdenTrust (DST Root CA X3), ki se uporablja za medsebojno podpisovanje korenskega potrdila overitelja Let’s Encrypt, je povzročila težave pri preverjanju potrdil Let’s Encrypt v projektih, ki uporabljajo stare različice OpenSSL in GnuTLS. Te težave so prav tako prizadele knjižnico LibreSSL, katere razvijalci niso upoštevali preteklih izkušenj, povezanih z napakami, ki so se pojavile po prenehanju veljavnosti korenskega potrdila AddTrust overitelja Sectigo (Comodo).
Spomnimo, da so v izdajah OpenSSL do veje 1.0.2 vključno in v GnuTLS do izdaje 3.6.14 obstajali napaki, ki nista omogočili pravilne obdelave medsebojno podpisanih potrdil, v primeru prenehanja veljavnosti enega od korenskih potrdil, uporabljenih pri podpisovanju, tudi če so bile prisotne druge veljavne verige zaupanja (v primeru Let’s Encrypt prenehanje veljavnosti korenskega potrdila IdenTrust preprečuje preverjanje, tudi če je v sistemu podpora za lastno korensko potrdilo Let’s Encrypt, ki ostaja veljavna do leta 2030). Bistvo napake je, da so stare različice OpenSSL in GnuTLS obravnavale potrdilo kot linearno verigo, medtem ko v skladu z RFC 4158 potrdilo lahko predstavlja usmerjeni razporedni cikel s več zaupnimi vozlišči, ki jih je treba upoštevati.
Kot obhodna rešitev za odpravo napake predlagamo, da odstranite certifikat "DST Root CA X3" iz sistemskega skladišča (/etc/ca-certificates.conf in /etc/ssl/certs), nato pa zaženete ukaz "update-ca-certificates -f -v". V CentOS in RHEL lahko certifikat "DST Root CA X3" dodate na črni seznam: trust dump —filter "pkcs11:id=" | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract
Nekatere od napak, ki so se pojavile po prenehanju veljavnosti korenskega potrdila IdenTrust:
- V OpenBSD je prenehal delovati pripomoček syspatch, ki se uporablja za namestitev binarnih posodobitev sistema. Projekt OpenBSD je danes v nujnih primerih izdal popravke za veje 6.8 in 6.9, ki odpravljajo težave v LibreSSL s preverjanjem medsebojno podpisanih certifikatov, pri čemer je en izmed korenskih certifikatov v verigi zaupanja potekel. Za obhodno rešitev problema je priporočeno, da se v /etc/installurl preklopi s HTTPS na HTTP (to ne ogroža varnosti, saj so posodobitve dodatno preverjene z digitalnim podpisom) ali izbere alternativno ogledalo (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). Prav tako lahko odstranite potekli korenski certifikat DST Root CA X3 iz datoteke /etc/ssl/cert.pem.
- V DragonFly BSD se opazijo podobne težave pri delovanju z DPorts. Ko se zažene paketni upravitelj pkg, se prikaže napaka pri preverjanju certifikata. Popravki so danes dodani v veje master, DragonFly_RELEASE_6_0 in DragonFly_RELEASE_5_8. Kot obhodno rešitev lahko odstranite certifikat DST Root CA X3.
- Postopek preverjanja certifikatov Let’s Encrypt v aplikacijah na osnovi platforme Electron je moten. Težava je odpravljena v posodobitvah 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- V nekaterih distribucijah so opažene težave z dostopom do repozitorijev paketov pri uporabi paketnega upravitelja APT, povezanega s starejšimi različicami knjižnice GnuTLS. Zadeva je prizadela Debian 9, v katerem je bil uporabljen nepokrit popravljen paket GnuTLS, kar je povzročilo težave pri dostopu do deb.debian.org za uporabnike, ki posodobitev niso namestili pravočasno (popravilo gnutls28-3.5.8-5+deb9u6 je bilo predlagano 17. septembra). Kot obhodno rešitev je priporočeno, da odstranite DST_Root_CA_X3.crt iz datoteke /etc/ca-certificates.conf.
- Delovanje acme-clienta v distribuciji za ustvarjanje požarnih zidov OPNsense je moteno, o težavi je bilo vnaprej poročano, vendar se razvijalcem ni uspelo pravočasno sprostiti popravka.
- Težava je vplivala na paket OpenSSL 1.0.2k v RHEL/CentOS 7, vendar je bilo pred enim tednom za RHEL 7 in CentOS 7 izdano posodobitev paketa ca-certificates-2021.2.50-72.el7_9.noarch, iz katerega je bil odstranjen certifikat IdenTrust, torej je bil pojav težave vnaprej blokiran. Podobna posodobitev je bila pred enim tednom objavljena tudi za Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 in Ubuntu 18.04. Ker so bile posodobitve izdane vnaprej, je težava s preverjanjem certifikatov Let’s Encrypt prizadela le uporabnike starih različic RHEL/CentOS in Ubuntu, ki redno ne nameščajo posodobitev.
- Prekinjen postopek preverjanja certifikatov v grpc.
- Napaka pri sestavljanju platforme Cloudflare Pages.
- Težave v Amazon Web Services (AWS).
- Težave s povezovanjem z bazo podatkov pri uporabnikih DigitalOcean.
- Napaka v delovanju oblačne platforme Netlify.
- Težave z dostopom do storitev Xero.
- Napaka pri poskusu vzpostavitve TLS-povezave do Web API storitve MailGun.
- Težave v različicah macOS in iOS (11, 13, 14), ki teoretično težava ne bi smela prizadeti.
- Napaka v storitvah Catchpoint.
- Napaka pri preverjanju certifikatov pri dostopu do API PostMan.
- Napaka v delovanju Guardian Firewall.
- Težava na strani podpore monday.com.
- Napaka v delovanju platforme Cerb.
- Napaka pri preverjanju uptime v Google Cloud Monitoring.
- Težava pri preverjanju certifikatov v Cisco Umbrella Secure Web Gateway.
- Težave s povezovanjem na proxy Bluecoat in Palo Alto.
- V OVHcloud so nastale težave s povezovanjem do OpenStack API.
- Težave pri generiranju poročil v Shopify.
- Pri dostopu do API Heroku so zabeležene težave.
- Napaka v delovanju Ledger Live Manager.
- Napaka pri preverjanju certifikata v orodjih za razvijalce aplikacij za Facebook.
- Težave v Sophos SG UTM.
- Težave pri preverjanju certifikatov v cPanel.
Izvor: opennet.ru
