Јуче делимо вести овде на блогу по престанку важења сертификата ИденТруст (ДСТ Роот ЦА Кс3) који се користи за потписивање Лет'с Енцрипт ЦА сертификата изазвао је проблеме са потврђивањем Лет'с Енцрипт сертификата у пројектима који користе старије верзије ОпенССЛ -а и ГнуТЛС -а.
Проблеми су такође утицали на библиотеку ЛибреССЛ, чији програмери нису узели у обзир прошло искуство у вези са падовима који су се догодили након истека АддТруст роот сертификата Сецтиго (Цомодо) сертификата.
И у верзијама ОпенССЛ -а до 1.0.2 укључујући и у ГнуТЛС -у пре 3.6.14 дошло је до грешке да није дозволио исправну обраду унакрсних сертификата ако је један од основних сертификата коришћених за потписивање истекао, чак и ако су остали важећи.
Суштина грешке је у томе што су претходне верзије ОпенССЛ -а и ГнуТЛС -а рашчланиле сертификат као линеарни ланац, док према РФЦ 4158, сертификат може представљати усмерени дистрибуирани тортни графикон са различитим сидрима поверења која се морају узети у обзир.
У међувремену пројекат ОпенБСД хитно је данас објавио закрпе за огранке 6.8 и 6.9, који решавају проблеме у ЛибреССЛ-у са унакрсном верификацијом сертификата, један од основних сертификата у ланцу поверења је истекао. Као решење проблема, препоручује се у / етц / инсталлурл да пређете са ХТТПС на ХТТП (ово не угрожава безбедност, јер се ажурирања додатно верификују дигиталним потписом) или изаберите алтернативни пресликач (фтп.уса.опенбсд.орг , фтп.хостсервер.де, цдн.опенбсд .орг).
такође истекли ДСТ Роот ЦА Кс3 сертификат се може уклонити из /етц/ссл/церт.пем датотеке, а услужни програм сиспатцх који се користи за инсталирање бинарних ажурирања система је престао да ради на ОпенБСД -у.
Слични ДрагонФли БСД проблеми јављају се при раду са ДПортс -ом. Приликом покретања пкг менаџера пакета генерише се грешка при потврђивању сертификата. Поправак је данас додат главним гранама, ДрагонФли_РЕЛЕАСЕ_6_0 и ДрагонФли_РЕЛЕАСЕ_5_8. Заобилазно решење можете да уклоните ДСТ Роот ЦА Кс3 сертификат.
Неки од пропуста који су се догодили након што је ИденТруст сертификат отказан били су следећи:
- Процес верификације Лет'с Енцрипт сертификата је прекинут у апликацијама заснованим на платформи Елецтрон. Овај проблем је решен у ажурирањима 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- Неке дистрибуције имају проблема са приступом спремишту пакета када користе АПТ менаџер пакета укључен у старије верзије библиотеке ГнуТЛС.
- Дебиан 9 је погођен неисправљеним ГнуТЛС пакетом, што је узроковало проблеме у приступу деб.дебиан.орг корисницима који нису инсталирали ажурирања на време (поправка гнутлс28-3.5.8-5 + деб9у6 је предложена 17. септембра).
- Ацме клијент је покварио ОПНсенсе, проблем је пријављен унапред, али програмери нису успели да објаве закрпу на време.
- Проблем је утицао на пакет ОпенССЛ 1.0.2к на РХЕЛ / ЦентОС 7, али је пре недељу дана за РХЕЛ 7 и ЦентОС 7 генерисана надоградња пакета ца-цертифицате-2021.2.50-72.ел7_9.ноарцх, из које је ИденТруст сертификат је обрисан, односно претходно је блокирана манифестација проблема.
- Будући да су ажурирања објављена раније, проблем са верификацијом Лет'с Енцрипт сертификата утицао је само на кориснике старих РХЕЛ / ЦентОС и Убунту подружница, који ажурирања не инсталирају редовно.
- Процес верификације сертификата у грпц -у је прекинут.
- Креирање Цлоудфларе платформе страница није успело.
- Проблеми са Амазон веб услугама (АВС).
- Корисници ДигиталОцеана имају проблема при повезивању са базом података.
- Неуспех Нетлифи платформе у облаку.
- Проблеми при приступу услугама Ксеро.
- Покушај успостављања ТЛС везе са МаилГун Веб АПИ није успео.
- Грешке у верзијама мацОС и иОС (11, 13, 14), на које теоретски проблем није требао утицати.
- Грешка услуга Цатцхпоинт.
- Провера сертификата при приступу ПостМан АПИ -у није успела.
- Гуардиан Фиревалл се срушио.
- Прекид на страници за подршку мондаи.цом.
- Пад на платформи Церб.
- Није могуће верификовати продужење рада у Гоогле Цлоуд Мониторинг -у.
- Проблем са потврђивањем сертификата на Цисцо Умбрелла Сецуре Веб Гатеваи.
- Проблеми са повезивањем на проксије Блуецоат и Пало Алто.
- ОВХцлоуд има проблема са повезивањем на ОпенСтацк АПИ.
- Проблеми при генерисању извештаја у Схопифи -у.
- Постоје проблеми са приступом Хероку АПИ -ју.
- Пад у Ледгер Ливе Манагер -у.
- Грешка при потврђивању сертификата у алаткама за развој Фацебоок апликација.
- Проблеми у Сопхос СГ УТМ.
- Проблеми са верификацијом сертификата у цПанелу.
Као алтернативно решење, предлаже се брисање сертификата «ДСТ Роот ЦА Кс3» из системске продавнице (/етц/ца-цертифицатес.цонф и / етц / ссл / цертс), а затим покрените команду "упдате -ца -ифицатес -ф -в").
На ЦентОС -у и РХЕЛ -у можете додати цертификат "ДСТ Роот ЦА Кс3" на црну листу.