Včeraj smo na blogu delili novico o ukinitvi potrdila IdenTrust (DST Root CA X3), ki se uporablja za podpisovanje potrdila Let's Encrypt CA, kar je povzročilo težave z validacijo potrdila Let's Encrypt v projektih, ki uporabljajo starejše različice OpenSSL in GnuTLS.
Težave so vplivale tudi na knjižnico LibreSSL, katere razvijalci niso upoštevali preteklih izkušenj, povezanih z napakami, ki so se zgodile po poteku korenskega potrdila AddTrust overitelja Sectigo (Comodo).
V različicah OpenSSL do vključno 1.0.2 in v različicah GnuTLS pred 3.6.14 je prihajalo do napake , ki je preprečevala pravilno obdelavo navzkrižno podpisanih potrdil, če je eno od korenskih potrdil, uporabljenih za podpisovanje, poteklo, tudi če so ostala veljavna potrdila.
Bistvo napake je v tem, da so starejše različice OpenSSL in GnuTLS potrdilo razčlenjevale kot linearno verigo, medtem ko lahko po RFC 4158 potrdilo predstavlja usmerjen porazdeljen tortni grafikon z več sidri zaupanja, ki jih je treba upoštevati.
Projekt OpenBSD je danes nujno izdal popravke za veji 6.8 in 6.9, ki odpravljajo težave v LibreSSL s preverjanjem navzkrižno podpisanih potrdil. Eno od korenskih potrdil v verigi zaupanja je poteklo. Kot rešitev je priporočljivo, da v `/etc/installurl` spremenite HTTPS v HTTP (to ne ogroža varnosti, saj se posodobitve še vedno preverjajo z digitalnim podpisom) ali izberete alternativno zrcalno strežnik (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org).
Iz datoteke /etc/ssl/cert.pem lahko odstranite tudi potečeno potrdilo DST Root CA X3, pripomoček syspatch, ki se uporablja za namestitev binarnih sistemskih posodobitev, pa je v OpenBSD prenehal delovati.
Podobne težave z DragonFly BSD se pojavijo pri delu z DPorti. Pri zagonu upravitelja paketov pkg se ustvari napaka pri preverjanju potrdila. Popravek je bil danes dodan v glavne veje, DragonFly_RELEASE_6_0 in DragonFly_RELEASE_5_8. Kot rešitev lahko odstranite potrdilo DST Root CA X3.
Nekatere napake, ki so se zgodile po preklicu potrdila IdenTrust, so bile naslednje:
- Postopek preverjanja potrdila Let's Encrypt je bil prekinjen v aplikacijah, ki temeljijo na platformi Electron. Ta težava je bila odpravljena v posodobitvah 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- Nekatere distribucije imajo težave pri dostopu do skladišč paketov pri uporabi upravitelja paketov APT, vključenega v starejše različice knjižnice GnuTLS.
- Debian 9 je bil prizadet zaradi neobdelanega paketa GnuTLS, kar je povzročilo težave pri dostopu do deb.debian.org za uporabnike, ki niso pravočasno namestili posodobitev (popraviti gnutls28-3.5.8-5 + deb9u6 je bilo predlagano 17. septembra).
- Odjemalec acme je zlomil OPNsense, o težavi so poročali vnaprej, vendar razvijalci niso uspeli pravočasno izdati popravka.
- Težava je prizadela paket OpenSSL 1.0.2k za RHEL / CentOS 7, vendar je bil pred tednom dni za RHEL 7 in CentOS 7 ustvarjena posodobitev paketa ca-certificate-2021.2.50-72.el7_9.noarch, iz katerega je bil Potrdilo IdenTrust je bilo izbrisano, to pomeni, da je bila težava vnaprej blokirana.
- Ker so bile posodobitve izdane predčasno, je težava s preverjanjem potrdila Let's Encrypt prizadela le uporabnike starih vej RHEL / CentOS in Ubuntu, ki posodobitev ne nameščajo redno.
- Postopek preverjanja potrdila v grpc je prekinjen.
- Platforme strani Cloudflare ni bilo mogoče ustvariti.
- Težave s spletnimi storitvami Amazon (AWS).
- Uporabniki DigitalOceana imajo težave pri povezovanju z bazo podatkov.
- Napaka platforme Netlify v oblaku.
- Težave pri dostopu do storitev Xero.
- Poskus vzpostavitve povezave TLS s spletnim API -jem MailGun ni uspel.
- Napake v različicah macOS in iOS (11, 13, 14), na katere problem teoretično ne bi smel vplivati.
- Napaka storitev Catchpoint.
- Pri dostopu do API -ja PostMan ni bilo mogoče preveriti potrdil.
- Guardian Firewall se je zrušil.
- Motnje na strani za podporo monday.com.
- Crash na platformi Cerb.
- V Googlu Cloud Monitoring ni mogoče preveriti neprekinjenega delovanja.
- Težava s preverjanjem veljavnosti certifikata na Cisco Umbrella Secure Web Gateway.
- Težave pri povezovanju s pooblastili Bluecoat in Palo Alto.
- OVHcloud ima težave pri povezovanju z API -jem OpenStack.
- Težave pri ustvarjanju poročil v Shopifyju.
- Pri dostopu do API -ja Heroku so težave.
- Crash v Ledger Live Manager.
- Napaka pri preverjanju potrdila v orodjih za razvoj aplikacij Facebook.
- Težave v Sophos SG UTM.
- Težave s preverjanjem potrdil v cPanelu.
Kot alternativna rešitev se predlaga odstranitev potrdila »DST Root CA X3« iz sistemske shrambe (/etc/ca-certificates.conf in /etc/ssl/certs) in nato zagon ukaza »update-ca -ificates -f -v«.
Na CentOS in RHEL lahko na črni seznam dodate certifikat "DST Root CA X3".