{"id":101490,"date":"2021-10-01T16:22:46","date_gmt":"2021-10-01T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust"},"modified":"2021-10-01T16:22:46","modified_gmt":"2021-10-01T14:22:46","slug":"sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/news\/sboi-v-openbsd-dragonfly-bsd-i-electron-iz-za-ustarevaniya-kornevogo-sertifikata-identrust","title":{"rendered":"Napake v OpenBSD, DragonFly BSD in Electron zaradi zastaranja osnovnega certifikata IdenTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Prenehanje veljavnosti korenskega certifikata podjetja IdenTrust (DST Root CA X3), ki se uporablja za medsebojno podpisovanje korenskega certifikata overiteljskega centra Let's Encrypt, je povzro\u010dilo te\u017eave pri preverjanju certifikatov Let's Encrypt v projektih, ki uporabljajo starej\u0161e razli\u010dice OpenSSL in GnuTLS. Te\u017eave so prav tako prizadele knji\u017enico LibreSSL, katerih razvijalci niso upo\u0161tevali prej\u0161njih izku\u0161enj, povezanih s te\u017eavami, ki so se pojavile po prenehanju veljavnosti korenskega certifikata AddTrust overiteljskega centra Sectigo (Comodo). <\/p>\n
Opomnimo, da so bile v izdajah OpenSSL do veje 1.0.2 vklju\u010dno in v GnuTLS do izdajanja 3.6.14 prisotne napake, ki niso omogo\u010dale pravilne obdelave medsebojno podpisanih certifikatov v primeru prenehanja veljavnosti enega od korenskih certifikatov, ki so bili vklju\u010deni v podpis, tudi \u010de so ostale druge veljavne verige zaupanja (v primeru Let's Encrypt prenehanje veljavnosti korenskega certifikata IdenTrust ne omogo\u010da preverjanja, celo \u010de obstaja podpora za lasten korenski certifikat Let's Encrypt, ki je veljaven do leta 2030). Bistvo napake je, da so starej\u0161e razli\u010dice OpenSSL in GnuTLS obravnavale certifikat kot linearno verigo, medtem ko lahko v skladu z RFC 4158 certifikat predstavlja usmerjen porazdeljen cikli\u010dni graf z ve\u010d vozli\u0161\u010di zaupanja, ki jih je treba upo\u0161tevati. <\/p>\n
Kot bypass re\u0161itve te\u017eave se predlaga odstranitev certifikata «DST Root CA X3» iz sistemskega skladi\u0161\u010da (\/etc\/ca-certificates.conf in \/etc\/ssl\/certs), nato pa zagon ukaza «update-ca-certificates -f -v». V CentOS in RHEL lahko dodate certifikat «DST Root CA X3» na \u010drni seznam: trust dump \u2014filter «pkcs11:id=» | openssl x509 | sudo tee \/etc\/pki\/ca-trust\/source\/blacklist\/DST-Root-CA-X3.pem sudo update-ca-trust extract <\/ul>\n
Nekatere od napak, ki so se pojavile po prenehanju veljavnosti korenskega potrdila IdenTrust: <\/p>\n
\n
V OpenBSD je prenehal delovati pripomo\u010dek syspatch, ki se uporablja za namestitev binarnih posodobitev sistema. Projekt OpenBSD je danes v nujnih primerih izdal popravke za veje 6.8 in 6.9, ki odpravljajo te\u017eave v LibreSSL s preverjanjem medsebojno podpisanih certifikatov, pri \u010demer je en izmed korenskih certifikatov v verigi zaupanja potekel. Za obhodno re\u0161itev problema je priporo\u010deno, da se v \/etc\/installurl preklopi s HTTPS na HTTP (to ne ogro\u017ea varnosti, saj so posodobitve dodatno preverjene z digitalnim podpisom) ali izbere alternativno ogledalo (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). Prav tako lahko odstranite potekli korenski certifikat DST Root CA X3 iz datoteke \/etc\/ssl\/cert.pem.\n
V DragonFly BSD se opazijo podobne te\u017eave pri delovanju z DPorts. Ko se za\u017eene paketni upravitelj pkg, se prika\u017ee napaka pri preverjanju certifikata. Popravki so danes dodani v veje master, DragonFly_RELEASE_6_0 in DragonFly_RELEASE_5_8. Kot obhodno re\u0161itev lahko odstranite certifikat DST Root CA X3.\n
Postopek preverjanja certifikatov Let's Encrypt je prekinjen v aplikacijah na osnovi platforme Electron. Te\u017eava je bila odpravljena v posodobitvah 12.2.1, 13.5.1, 14.1.0, 15.1.0.\n
V nekaterih distribucijah so opa\u017eene te\u017eave z dostopom do repozitorijev paketov pri uporabi paketnega upravitelja APT, povezanega s starej\u0161imi razli\u010dicami knji\u017enice GnuTLS. Zadeva je prizadela Debian 9, v katerem je bil uporabljen nepokrit popravljen paket GnuTLS, kar je povzro\u010dilo te\u017eave pri dostopu do deb.debian.org za uporabnike, ki posodobitev niso namestili pravo\u010dasno (popravilo gnutls28-3.5.8-5+deb9u6 je bilo predlagano 17. septembra). Kot obhodno re\u0161itev je priporo\u010deno, da odstranite DST_Root_CA_X3.crt iz datoteke \/etc\/ca-certificates.conf.\n
Delovanje acme-clienta v distribuciji za ustvarjanje po\u017earnih zidov OPNsense je moteno, o te\u017eavi je bilo vnaprej poro\u010dano, vendar se razvijalcem ni uspelo pravo\u010dasno sprostiti popravka.\n
Te\u017eava je zadevala paket OpenSSL 1.0.2k v RHEL\/CentOS 7, vendar je bilo pred tednom dni za RHEL 7 in CentOS 7 objavljeno posodobitev paketa ca-certificates-2021.2.50-72.el7_9.noarch, iz katerega je bil odstranjen certifikat IdenTrust, torej je bilo manifestiranje te\u017eave vnaprej blokirano. Podobna posodobitev je pred tednom dni bila objavljena za Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 in Ubuntu 18.04. Ker so bile posodobitve izdane vnaprej, je te\u017eava s preverjanjem certifikatov Let's Encrypt prizadela le uporabnike starih razli\u010dic RHEL\/CentOS in Ubuntu, ki redno ne name\u0161\u010dajo posodobitev.\n
Prekinjen postopek preverjanja certifikatov v grpc.\n
Napaka pri sestavljanju platforme Cloudflare Pages.\n
Te\u017eave v Amazon Web Services (AWS).\n
Te\u017eave s povezovanjem z bazo podatkov pri uporabnikih DigitalOcean.\n
Napaka v delovanju obla\u010dne platforme Netlify.\n
Te\u017eave z dostopom do storitev Xero.\n
Napaka pri poskusu vzpostavitve TLS-povezave do Web API storitve MailGun.\n
Te\u017eave v razli\u010dicah macOS in iOS (11, 13, 14), ki teoreti\u010dno te\u017eava ne bi smela prizadeti.\n
Napaka v storitvah Catchpoint.\n
Napaka pri preverjanju certifikatov pri dostopu do API PostMan.\n
Napaka v delovanju Guardian Firewall.\n
Te\u017eava na strani podpore monday.com.\n
Napaka v delovanju platforme Cerb.\n
Napaka pri preverjanju uptime v Google Cloud Monitoring.\n
Te\u017eava pri preverjanju certifikatov v Cisco Umbrella Secure Web Gateway.\n
Te\u017eave s povezovanjem na proxy Bluecoat in Palo Alto.\n
V OVHcloud so nastale te\u017eave s povezovanjem do OpenStack API.\n
Te\u017eave pri generiranju poro\u010dil v Shopify.\n
Pri dostopu do API Heroku so zabele\u017eene te\u017eave.\n
Napaka v delovanju Ledger Live Manager.\n
Napaka pri preverjanju certifikata v orodjih za razvijalce aplikacij za Facebook.\n
Te\u017eave v Sophos SG UTM.\n
Te\u017eave pri preverjanju certifikatov v cPanel. <\/ul>\n