I går delte vi her på bloggen nyheden om ophøret af IdenTrust-certifikatet (DST Root CA X3), der blev brugt til at signere Let's Encrypt CA-certifikatet, og som har forårsaget problemer med valideringen af Let's Encrypt-certifikatet i projekter, der bruger ældre versioner af OpenSSL og GnuTLS.
Problemerne påvirkede også LibreSSL-biblioteket, hvis udviklere ikke tog hensyn til tidligere erfaringer relateret til fejl, der opstod efter at AddTrust-rodcertifikatet fra Sectigo (Comodo)-certificeringsmyndigheden udløb.
I OpenSSL-versioner til og med 1.0.2 og i GnuTLS-versioner før 3.6.14 opstod der en fejl , der forhindrede korrekt behandling af krydssignerede certifikater, hvis et af de rodcertifikater, der blev brugt til signering, udløb, selvom andre gyldige certifikater stadig var gældende.
Kernen i fejlen er, at tidligere versioner af OpenSSL og GnuTLS parsede certifikatet som en lineær kæde, hvorimod et certifikat ifølge RFC 4158 kan repræsentere et rettet distribueret cirkeldiagram med flere tillidsankre, der skal tages i betragtning.
OpenBSD-projektet har i dag hurtigst muligt udgivet programrettelser til branch 6.8 og 6.9, som retter problemer i LibreSSL med krydssigneret certifikatverifikation. Et af rodcertifikaterne i tillidskæden er udløbet. Som en løsning anbefales det at ændre HTTPS til HTTP i `/etc/installurl` (dette kompromitterer ikke sikkerheden, da opdateringer stadig verificeres med en digital signatur) eller vælge et alternativt filspejl (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org).
Du kan også fjerne det udløbne DST Root CA X3-certifikat fra filen /etc/ssl/cert.pem, hvorefter syspatch-værktøjet, der bruges til at installere opdateringer til binære systemer, er holdt op med at virke på OpenBSD.
Lignende DragonFly BSD -problemer opstår, når du arbejder med DPorts. Når pkg -pakkehåndteringen startes, genereres en certifikatvalideringsfejl. Rettelsen er tilføjet til master filialerne, DragonFly_RELEASE_6_0 og DragonFly_RELEASE_5_8 i dag. Som en løsning kan du fjerne DST Root CA X3 -certifikatet.
Nogle af de fejl, der opstod efter at IdenTrust-certifikatet blev annulleret, var følgende:
- Verificeringsprocessen Let's Encrypt er blevet afbrudt i applikationer baseret på Electron -platformen. Dette problem blev rettet i opdateringer 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- Nogle distributioner har problemer med at få adgang til pakkelagre, når de bruger APT -pakkehåndteringen, der følger med ældre versioner af GnuTLS -biblioteket.
- Debian 9 blev påvirket af den upatchede GnuTLS-pakke, hvilket forårsagede problemer med at få adgang til deb.debian.org for brugere, der ikke installerede opdateringer i tide (fix gnutls28-3.5.8-5 + deb9u6 blev foreslået den 17. september).
- Acme -klienten brød på OPNsense, problemet blev rapporteret på forhånd, men udviklerne undlod at frigive opdateringen i tide.
- Problemet påvirkede OpenSSL 1.0.2k-pakken på RHEL / CentOS 7, men for en uge siden for RHEL 7 og CentOS 7 blev der opdateret en ca-certifikat-2021.2.50-72.el7_9.noarch-pakke, hvorfra The IdenTrust -certifikat blev slettet, det vil sige, at manifestationen af problemet blev blokeret på forhånd.
- Da opdateringerne blev udgivet tidligt, påvirkede problemet med Let's Encrypt -certifikatbekræftelse kun brugere af de gamle RHEL / CentOS- og Ubuntu -filialer, som ikke installerer opdateringer regelmæssigt.
- Certifikatbekræftelsesprocessen i grpc er brudt.
- Kunne ikke oprette Cloudflare -sideplatform.
- Problemer med Amazon Web Services (AWS).
- DigitalOcean -brugere har problemer med at oprette forbindelse til databasen.
- Netlify cloud -platformfejl.
- Problemer med at få adgang til Xero -tjenester.
- Et forsøg på at etablere en TLS -forbindelse med MailGun Web API mislykkedes.
- Fejl i macOS- og iOS -versioner (11, 13, 14), som teoretisk set ikke burde have været påvirket af problemet.
- Catchpoint services fejl.
- Kunne ikke kontrollere certifikater ved adgang til PostMan API.
- Guardian Firewall styrtede ned.
- Afbrydelse på monday.com supportsiden.
- Nedbrud på Cerb -platformen.
- Kan ikke bekræfte oppetid i Google Cloud Monitoring.
- Problem med certifikatvalidering på Cisco Umbrella Secure Web Gateway.
- Problemer med at oprette forbindelse til Bluecoat og Palo Alto proxyer.
- OVHcloud har problemer med at oprette forbindelse til OpenStack API.
- Problemer med at generere rapporter i Shopify.
- Der er problemer med at få adgang til Heroku API.
- Crash i Ledger Live Manager.
- Certifikatvalideringsfejl i Facebook -applikationsudviklingsværktøjer.
- Problemer i Sophos SG UTM.
- Problemer med certifikatverifikation i cPanel.
Som en alternativ løsning foreslås det at fjerne certifikatet "DST Root CA X3" fra systemlageret (/etc/ca-certificates.conf og /etc/ssl/certs) og derefter køre kommandoen "update-ca -ificates -f -v".
På CentOS og RHEL kan du tilføje certifikatet "DST Root CA X3" til sortlisten.