ShkĂ«putja e veprimit tĂ« certifikatĂ«s rrĂ«njĂ«sore tĂ« kompanisĂ« IdenTrust (DST Root CA X3), e cila pĂ«rdoret pĂ«r nĂ«nshkrimin e certifikatave tĂ« autoriteteve tĂ« certifikimit Letâs Encrypt, ka sjellĂ« probleme nĂ« verifikimin e certifikatave Letâs Encrypt nĂ« projekte qĂ« pĂ«rdorin versione tĂ« vjetra tĂ« OpenSSL dhe GnuTLS. Problemet kanĂ« prekur gjithashtu bibliotekĂ«n LibreSSL, zhvilluesit e sĂ« cilĂ«s nuk e morĂ«n parasysh pĂ«rvojĂ«n e kaluar lidhur me dĂ«shtimet qĂ« ndodhĂ«n pas skadimit tĂ« certifikatĂ«s rrĂ«njĂ«sore AddTrust tĂ« autoritetit tĂ« certifikimit Sectigo (Comodo).
KujtojmĂ« se nĂ« versionet e OpenSSL deri nĂ« degĂ«n 1.0.2 pĂ«rfshirĂ« dhe nĂ« GnuTLS deri nĂ« versionin 3.6.14, kishte njĂ« gabim qĂ« nuk lejonte pĂ«rpunimin e saktĂ« tĂ« certifikatave tĂ« nĂ«nshkruara pĂ«rmes kryqĂ«zimit, nĂ« rastin e skadimit tĂ« njĂ«rit prej certifikatave rrĂ«njĂ«sore tĂ« pĂ«rfshira nĂ« nĂ«nshkrim, edhe nĂ«se ruheshin zinxhirĂ« tjerĂ« besnikĂ«rie nĂ« fuqi (nĂ« rastin e Letâs Encrypt, skadimi i certifikatĂ«s rrĂ«njĂ«sore IdenTrust nuk lejon kryerjen e verifikimit, edhe nĂ«se sistemi ka mbĂ«shtetje pĂ«r certifikatĂ«n rrĂ«njĂ«sore Letâs Encrypt, e cila Ă«shtĂ« nĂ« fuqi deri nĂ« vitin 2030). Thelbi i gabimit Ă«shtĂ« se versionet e vjetra tĂ« OpenSSL dhe GnuTLS e interpretonin certifikatĂ«n si njĂ« zinxhir linear, ndĂ«rsa sipas RFC 4158, certifikata mund tĂ« pĂ«rfaqĂ«sojĂ« njĂ« grafik tĂ« orientuar tĂ« shpĂ«rndarĂ« ciklik me disa pika besimi qĂ« duhet tĂ« merren parasysh.
Si pĂ«r njĂ« zgjidhje tĂ« shkurtĂ«r pĂ«r tĂ« eliminuar probleme, rekomandohet tĂ« hiqet certifikata "DST Root CA X3" nga depoja sistemore (/etc/ca-certificates.conf dhe /etc/ssl/certs) dhe pastaj tĂ« ekzekutohet komandĂ«n "update-ca-certificates -f -v". NĂ« CentOS dhe RHEL, mund tĂ« shtoni certifikatĂ«n "DST Root CA X3" nĂ« listĂ«n e zezĂ«: trust dump âfilter "pkcs11:id=" | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem sudo update-ca-trust extract
Disa nga dështimet e pikasura pas skadimit të certifikatës rrënjësore IdenTrust:
- Në OpenBSD ka ndaluar funksionimi i utilitarit syspatch, i cili përdoret për instalimin e përditësimeve binare të sistemit. Projekti OpenBSD, në një rast emergjent, lëshoi sot patches për degët 6.8 dhe 6.9 që adresojnë probleme me verifikimin e sertifikatave me nënshkrim të ndërthurur në LibreSSL, një nga sertifikatat rrënjësore në zinxhirin e besueshmërisë i që është skaduar. Si një zgjidhje alternative, rekomandohet që në /etc/installurl të kaloni nga HTTPS në HTTP (kjo nuk paraqet rrezik për sigurinë, pasi përditësimet verifikohen gjithashtu përmes nënshkrimit digjital) ose të zgjidhni një pasqyrë alternative (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org). Gjithashtu, mund të hiqni sertifikatën e skaduar DST Root CA X3 nga skedari /etc/ssl/cert.pem.
- Në DragonFly BSD vërehen probleme të ngjashme gjatë punës me DPorts. Kur fillohet menaxherii i paketave pkg, del një gabim verifikimi të sertifikatës. Një rregullim është shtuar sot në degët master, DragonFly_RELEASE_6_0 dhe DragonFly_RELEASE_5_8. Si një zgjidhje alternative, mund të hiqni sertifikatën DST Root CA X3.
- Procesi i verifikimit tĂ« sertifikatave Letâs Encrypt Ă«shtĂ« prishur nĂ« aplikacione qĂ« bazohen nĂ« platformĂ«n Electron. Problemi Ă«shtĂ« zgjidhur nĂ« pĂ«rditĂ«simet 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- Në disa distribucione vërehen probleme me aksesin në repozitorët e paketave gjatë përdorimit të menaxherit të paketave APT, i lidhur me versionet e vjetra të bibliotekës GnuTLS. Problemi është vënë re në Debian 9, ku u përdor një paketë e pa riparuar GnuTLS, që çoi në probleme gjatë qasjes në deb.debian.org për përdoruesit që nuk instaluan në kohë përditësimet (rregullimi gnutls28-3.5.8-5+deb9u6 u propozua më 17 Shtator). Si një zgjidhje alternative për problemin, rekomandohet të hiqet DST_Root_CA_X3.crt nga skedari /etc/ca-certificates.conf.
- Funksionimi i acme-client në distribucionin për krijimin e firewalleve OPNsense është prishur, për problemin është raportuar më parë, por zhvilluesit nuk e kanë përfunduar patch-in në kohë.
- Problemi lidhej me paketĂ«n OpenSSL 1.0.2k nĂ« RHEL/CentOS 7, por njĂ« javĂ« mĂ« parĂ« u formua njĂ« pĂ«rditĂ«sim i paketĂ«s ca-certificates-2021.2.50-72.el7_9.noarch pĂ«r RHEL 7 dhe CentOS 7, nga i cili u hoq certifikata IdenTrust, pra shfaqja e problemit u bllokua mĂ« herĂ«t. NjĂ« pĂ«rditĂ«sim i ngjashĂ«m u publikua njĂ« javĂ« mĂ« parĂ« pĂ«r Ubuntu 16.04, Ubuntu 14.04, Ubuntu 21.04, Ubuntu 20.04 dhe Ubuntu 18.04. Siç u lĂ«shuan pĂ«rditĂ«simet mĂ« herĂ«t, problemi me verifikimin e certifikatave Letâs Encrypt preku vetĂ«m pĂ«rdoruesit e degĂ«ve tĂ« vjetra tĂ« RHEL/CentOS dhe Ubuntu, tĂ« cilĂ«t nuk e instalonin rregullisht pĂ«rditĂ«simin.
- Procesi i verifikimit të certifikatave është ndërprerë në grpc.
- Dështim gjatë ndërtimit të platformës Cloudflare Pages.
- Probleme në Amazon Web Services (AWS).
- Probleme me lidhjen në DB për përdoruesit e DigitalOcean.
- Dështim në funksionimin e platformës së cloud Netlify.
- Probleme me qasjen në shërbimet Xero.
- Dështim në përpjekjen për të vendosur një lidhje TLS me Web API të shërbimit MailGun.
- Dështime në versionet e macOS dhe iOS (11, 13, 14), të cilat teorikisht problemi nuk duhej të preknin.
- Dështim në shërbimet Catchpoint.
- Gabim në verifikimin e certifikatave gjatë qasjes në API PostMan.
- Dështim në funksionimin e Guardian Firewall.
- Dështim në faqen e mbështetjes monday.com.
- Dështim në funksionimin e platformës Cerb.
- Dështim gjatë kontrollit të uptime në Google Cloud Monitoring.
- Problemi me verifikimin e certifikatave në Cisco Umbrella Secure Web Gateway.
- Probleme me lidhjen me proxy Bluecoat dhe Palo Alto.
- Në OVHcloud pati probleme me lidhjen në OpenStack API.
- Probleme me gjenerimin e raporteve në Shopify.
- Probleme janë vërejtur gjatë qasjes në API Heroku.
- Dështim në funksionimin e Ledger Live Manager.
- Gabim në verifikimin e certifikatave në mjetet për zhvilluesit e aplikacioneve për Facebook.
- Probleme në Sophos SG UTM.
- Probleme me verifikimin e certifikatave në cPanel.
Burimi: opennet.ru
