為了讓瀏覽器對網站進行身份驗證，它會向自己提供有效的憑證鏈。 一條典型的鏈如上所示，中間憑證可能不只一個。 有效鏈中的憑證數量最少為三個。
根證書是證書頒發機構的核心。 它確實內建在您的作業系統或瀏覽器中，實際存在於您的裝置上。 無法從伺服器端更改它。 需要強制更新裝置上的作業系統或韌體。
安全專家斯科特赫爾姆 ，主要問題將出現在 Let's Encrypt 憑證授權單位上，因為它是當今網路上最受歡迎的 CA，其根憑證很快就會變壞。 更改 Let's Encrypt 根目錄 .
憑證授權單位（CA）的最終憑證和中間憑證從伺服器傳遞給客戶端，根憑證來自客戶端 已經，因此透過這組證書，人們可以建立一條鏈並對網站進行身份驗證。
問題是每個憑證都有一個過期日期，過期後需要更換。 例如，從1年2020月XNUMX日起，他們計劃對Safari瀏覽器中的伺服器TLS憑證的有效期限引入限制 .
這意味著我們都必須至少每 12 個月更換一次伺服器憑證。 此限制僅適用於伺服器憑證；它 沒有 適用於根 CA 憑證。
CA 憑證受不同的規則集管轄，因此具有不同的有效性限制。 有效期為 5 年的中級證書和使用壽命甚至為 25 年的根證書是很常見的！
中間證書通常沒有問題，因為它們是由伺服器提供給客戶端的，而伺服器本身更頻繁地更改自己的證書，因此它只是在此過程中替換中間證書。 與根 CA 憑證不同，它很容易與伺服器憑證一起替換。
正如我們已經說過的，根 CA 直接內建在客戶端裝置本身、作業系統、瀏覽器或其他軟體中。 更改根 CA 超出了網站的控制範圍。 這需要對客戶端進行更新，無論是作業系統還是軟體更新。
有些根 CA 已經存在很久了，我們談論的是 20-25 年。 很快，一些最古老的根 CA 將接近其自然壽命的終點，它們的時間即將結束。 對於我們大多數人來說，這根本不是問題，因為 CA 已經創建了新的根證書，並且它們多年來一直在作業系統和瀏覽器更新中分發到世界各地。 但如果有人很長一段時間沒有更新他們的作業系統或瀏覽器，那就是一個問題。
這種情況發生在格林尼治標準時間 30 年 2020 月 10 日 48:38:XNUMX。 這是準確的時間 來自 Comodo 認證機構 (Sectigo)。
它用於交叉簽名，以確保與儲存中沒有新 USERTrust 根憑證的舊裝置相容。
不幸的是，問題不僅出現在舊版瀏覽器中，而且出現在基於 OpenSSL 1.0.x、LibreSSL 和 。 例如，在機上盒中 ， 服務 ，在 Fortinet 中，Chargify 應用程序，在適用於 Linux 的 .NET Core 2.0 平台上 .
假設該問題只會影響舊系統（Android 2.3、Windows XP、Mac OS X 10.11、iOS 9 等），因為現代瀏覽器可以使用第二個 USERTRust 根憑證。 但事實上，故障始於數百個使用免費 OpenSSL 1.0.x 和 GnuTLS 函式庫的 Web 服務。 無法再建立安全連接，並顯示錯誤訊息，指示憑證已過期。
下一步 - 讓我們加密
即將到來的根 CA 變更的另一個很好的例子是 Let's Encrypt 憑證授權單位。 更多的 他們計劃從 Identrust 鏈切換到自己的 ISRG 根鏈，但這 .
Let's Encrypt 在一份聲明中表示：“由於擔心 Android 設備上未採用 ISRG 根，我們決定將本機根過渡日期從 8 年 2019 月 8 日推遲到 2020 年 XNUMX 月 XNUMX 日。”
由於「根傳播」的問題，或者更準確地說，當根 CA 沒有廣泛分佈在所有客戶端時，缺乏根傳播，該日期不得不推遲。
Let's Encrypt 目前使用連結到 IdenTrust DST Root CA X3 的交叉簽章中間憑證。 該根證書於 2000 年 30 月頒發，將於 2021 年 1 月 XNUMX 日到期。 在此之前，Let's Encrypt 計劃遷移到自己的自簽名 ISRG Root XXNUMX。
ISRG 根於 4 年 2015 月 XNUMX 日發布。 此後，其作為認證機構的批准程序開始，結束 。 從此時起，所有客戶端都可以透過作業系統或軟體更新使用根 CA。 您所要做的就是安裝更新。
但這就是問題所在。
如果你的手機、電視或其他裝置兩年沒有更新過，它怎麼會知道新的 ISRG Root X1 根憑證呢？ 如果您不在系統上安裝它，那麼一旦 Let's Encrypt 切換到新的根目錄，您的裝置將使所有 Let's Encrypt 伺服器憑證失效。 而且Android生態系統中存在著許多已經很久沒有更新的過時設備。
安卓生態系統
這就是 Let's Encrypt 推遲遷移到自己的 ISRG 根並且仍然使用深入到 IdenTrust 根的中間體的原因。 但無論如何，過渡都必須進行。 並指定根更改的日期 .
若要檢查您的裝置（電視、機上盒或其他用戶端）上是否安裝了 ISRG X1 root，請開啟測試站點 。 如果沒有出現安全警告，那麼通常一切都很好。
Let's Encrypt 並不是唯一面臨遷移到新根的挑戰的公司。 網路上的密碼學在20多年前就開始使用，所以現在是許多根憑證即將過期的時候。
多年未更新智慧電視軟體的智慧電視用戶可能會遇到此問題。 例如，新的 GlobalSign 根 於 2012 年發布，之後一些舊智慧電視無法與其建立鏈，因為它們根本沒有此根 CA。 特別是，這些客戶端無法建立與 bbc.co.uk 網站的安全連線。 為了解決這個問題，BBC管理員不得不使出一招：他們 透過額外的中間證書，使用舊根 и ，尚未腐爛。
www.bbc.co.uk（葉） GlobalSign ECC OV SSL CA 2018（中級） GlobalSign 根 CA - R5（中級） GlobalSign 根 CA - R3（中級）
這是一個臨時解決方案。 除非您更新客戶端軟體，否則問題不會消失。 智慧電視本質上是一台運行 Linux 的功能有限的電腦。 如果不更新，其根憑證將不可避免地變質。
這適用於所有設備，而不僅僅是電視。 如果您有任何連接到互聯網的設備並且被宣傳為“智慧型”設備，那麼幾乎肯定與該設備有關。 如果設備未更新，根 CA 儲存將隨著時間的推移而過時，最終問題就會浮出水面。 問題發生的時間取決於根儲存區上次更新的時間。 這可能比該設備的實際發布日期早了幾年。
順便說一句，這就是為什麼一些大型媒體平台無法使用像 Let's Encrypt 這樣的現代自動化證書頒發機構的問題，Scott Helme 寫道。 它們不適合智慧電視，且根數量太少，無法保證舊設備上的憑證支援。 否則，電視根本無法推出現代串流媒體服務。
AddTrust 的最新事件表明，即使是大型 IT 公司也沒有為根憑證過期的事實做好準備。
解決這個問題只有一種方法—更新。 智慧型裝置的開發者必須提供提前更新軟體和根憑證的機制。 另一方面，對於製造商來說，在保固期過後保證其設備的運作是無利可圖的。
來源： www.habr.com