Jučer smo ovdje na blogu podijelili vijest o prestanku važenja IdenTrust certifikata (DST Root CA X3) koji se koristi za potpisivanje Let's Encrypt CA certifikata, što je uzrokovalo probleme s validacijom Let's Encrypt certifikata u projektima koji koriste starije verzije OpenSSL-a i GnuTLS-a.
Problemi su uticali i na biblioteku LibreSSL, čiji programeri nisu uzeli u obzir prošla iskustva vezana za kvarove koji su se dogodili nakon isteka AddTrust root certifikata certifikacijskog tijela Sectigo (Comodo).
U verzijama OpenSSL-a do verzije 1.0.2 (uključujući i verziju) i u verzijama GnuTLS-a prije verzije 3.6.14, postojala je greška koja je sprječavala ispravnu obradu unakrsno potpisanih certifikata ako je jedan od korijenskih certifikata korištenih za potpisivanje istekao, čak i ako su ostali važeći certifikati ostali.
Suština greške je u tome što su ranije verzije OpenSSL-a i GnuTLS-a parsirale certifikat kao linearni lanac, dok prema RFC 4158, certifikat može predstavljati usmjereni distribuirani tortni grafikon s više sidrišta povjerenja koja se moraju uzeti u obzir.
OpenBSD projekat je danas hitno objavio zakrpe za grane 6.8 i 6.9, koje rješavaju probleme u LibreSSL-u sa verifikacijom unakrsno potpisanih certifikata. Jedan od root certifikata u lancu povjerenja je istekao. Kao zaobilazno rješenje, preporučuje se promjena HTTPS-a u HTTP u `/etc/installurl` (ovo ne ugrožava sigurnost, jer se ažuriranja i dalje verificiraju digitalnim potpisom) ili odabir alternativnog mirror-a (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org).
Također možete ukloniti istekli DST Root CA X3 certifikat iz datoteke /etc/ssl/cert.pem, a uslužni program syspatch koji se koristi za instaliranje binarnih sistemskih ažuriranja prestao je raditi na OpenBSD-u.
Slični DragonFly BSD problemi javljaju se pri radu s DPortsima. Prilikom pokretanja pkg upravitelja paketa generira se greška provjere valjanosti certifikata. Popravak je danas dodan glavnim granama, DragonFly_RELEASE_6_0 i DragonFly_RELEASE_5_8. Zaobilazno rješenje možete ukloniti DST Root CA X3 certifikat.
Neki od kvarova koji su se dogodili nakon otkazivanja IdenTrust certifikata bili su sljedeći:
- Proces verifikacije Let's Encrypt certifikata prekinut je u aplikacijama zasnovanim na platformi Electron. Ovaj je problem riješen u ažuriranjima 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- Neke distribucije imaju problema s pristupom spremištu paketa kada koriste upravitelj paketa APT uključen u starije verzije biblioteke GnuTLS.
- Debian 9 je bio pogođen neispravljenim GnuTLS paketom, što je uzrokovalo probleme u pristupu deb.debian.org korisnicima koji nisu instalirali ažuriranja na vrijeme (popravka gnutls28-3.5.8-5 + deb9u6 predložena je 17. septembra).
- Acme klijent je pokvario OPNsense, problem je prijavljen unaprijed, ali programeri nisu uspjeli objaviti zakrpu na vrijeme.
- Problem je utjecao na paket OpenSSL 1.0.2k na RHEL / CentOS 7, ali prije tjedan dana za RHEL 7 i CentOS 7 generirano je ažuriranje paketa ca-certificate-2021.2.50-72.el7_9.noarch iz kojeg je IdenTrust certifikat je izbrisan, odnosno prethodno je blokirana manifestacija problema.
- Budući da su ažuriranja objavljena prije vremena, problem s provjerom certifikata Let's Encrypt utjecao je samo na korisnike starih ogranaka RHEL / CentOS i Ubuntu, koji ažuriranja ne instaliraju redovno.
- Proces verifikacije certifikata u grpc -u je prekinut.
- Kreiranje Cloudflare platforme stranica nije uspjelo.
- Problemi s Amazon web uslugama (AWS).
- Korisnici DigitalOceana imaju problema pri povezivanju s bazom podataka.
- Greška Netlify cloud platforme.
- Problemi pri pristupu uslugama Xero.
- Pokušaj uspostavljanja TLS veze s MailGun Web API -jem nije uspio.
- Greške u verzijama macOS i iOS (11, 13, 14), na koje teoretski problem nije trebao utjecati.
- Greška usluga Catchpoint.
- Provjera certifikata prilikom pristupa PostMan API -u nije uspjela.
- Guardian Firewall se srušio.
- Prekid na stranici podrške monday.com.
- Rušenje na platformi Cerb.
- Nije moguće potvrditi produženje rada u Google Cloud Monitoring -u.
- Problem s provjerom valjanosti certifikata na Cisco Umbrella Secure Web Gateway.
- Problemi pri povezivanju s Bluecoat i Palo Alto proxyjima.
- OVHcloud ima problema s povezivanjem na OpenStack API.
- Problemi pri generiranju izvještaja u Shopify -u.
- Postoje problemi s pristupom Heroku API -ju.
- Rušenje u Ledger Live Manageru.
- Greška pri potvrđivanju certifikata u alatima za razvoj Facebook aplikacija.
- Problemi u Sophos SG UTM.
- Problemi s provjerom certifikata u cPanelu.
Kao alternativno rješenje, predlaže se uklanjanje certifikata "DST Root CA X3" iz sistemske memorije (/etc/ca-certificates.conf i /etc/ssl/certs), a zatim pokretanje naredbe "update-ca -ificates -f -v".
Na CentOS -u i RHEL -u možete dodati certifikat "DST Root CA X3" na crnu listu.