Gisteren deelden we hier op de blog het nieuws dat de beƫindiging van het IdenTrust-certificaat (DST Root CA X3), dat gebruikt werd om het Let's Encrypt CA-certificaat te ondertekenen, problemen heeft veroorzaakt met de validatie van het Let's Encrypt-certificaat in projecten die oudere versies van OpenSSL en GnuTLS gebruiken.
De problemen troffen ook de LibreSSL-bibliotheek, waarvan de ontwikkelaars geen rekening hadden gehouden met eerdere ervaringen met storingen die optraden nadat het AddTrust-rootcertificaat van de Sectigo (Comodo)-certificeringsinstantie was verlopen.
In OpenSSL-versies tot en met 1.0.2 en in GnuTLS-versies ouder dan 3.6.14 was er een fout die de correcte verwerking van kruisondertekende certificaten verhinderde als een van de voor ondertekening gebruikte rootcertificaten was verlopen, zelfs als er nog andere geldige certificaten over waren.
De kern van de fout is dat eerdere versies van OpenSSL en GnuTLS het certificaat interpreteerden als een lineaire keten, terwijl volgens RFC 4158 een certificaat een gerichte, gedistribueerde cirkeldiagram kan voorstellen met meerdere vertrouwensankers waarmee rekening moet worden gehouden.
Het OpenBSD-project heeft vandaag met spoed patches uitgebracht voor branches 6.8 en 6.9, die problemen in LibreSSL met kruisondertekende certificaatverificatie verhelpen. Een van de rootcertificaten in de vertrouwensketen is verlopen. Als tijdelijke oplossing wordt aangeraden om HTTPS te wijzigen in HTTP in `/etc/installurl` (dit brengt de beveiliging niet in gevaar, aangezien updates nog steeds worden geverifieerd met een digitale handtekening) of een alternatieve mirror te selecteren (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org).
Je kunt ook het verlopen DST Root CA X3-certificaat verwijderen uit het bestand /etc/ssl/cert.pem. Daarnaast werkt het syspatch-hulpprogramma, dat gebruikt wordt om binaire systeemupdates te installeren, niet meer op OpenBSD.
Soortgelijke problemen met DragonFly BSD treden op bij het werken met DPorts. Bij het starten van de pakketbeheerder pkg wordt een certificaatvalidatiefout gegenereerd. De fix is āāvandaag toegevoegd aan de master branches, DragonFly_RELEASE_6_0 en DragonFly_RELEASE_5_8. Als tijdelijke oplossing kunt u het DST Root CA X3-certificaat verwijderen.
Enkele van de problemen die zich voordeden nadat het IdenTrust-certificaat was ingetrokken, waren de volgende:
- Het certificaatverificatieproces van Let's Encrypt is onderbroken in applicaties op basis van het Electron-platform. Dit probleem is opgelost in updates 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- Sommige distributies hebben moeite om toegang te krijgen tot pakketrepository's bij gebruik van de APT-pakketbeheerder die bij oudere versies van de GnuTLS-bibliotheek is geleverd.
- Debian 9 werd beĆÆnvloed door het niet-gepatchte GnuTLS-pakket, wat problemen veroorzaakte bij het openen van deb.debian.org voor gebruikers die de updates niet op tijd installeerden (fix gnutls28-3.5.8-5 + deb9u6 werd voorgesteld op 17 september).
- De acme-client brak op OPNsense, het probleem werd van tevoren gemeld, maar de ontwikkelaars konden de patch niet op tijd vrijgeven.
- Het probleem had betrekking op het OpenSSL 1.0.2k-pakket op RHEL / CentOS 7, maar een week geleden voor RHEL 7 en CentOS 7 werd een update van het ca-certificate-2021.2.50-72.el7_9.noarch-pakket gegenereerd, waaruit The IdenTrust-certificaat is verwijderd, dat wil zeggen dat de manifestatie van het probleem vooraf was geblokkeerd.
- Omdat de updates vroegtijdig werden uitgebracht, had het probleem met de certificaatverificatie Let's Encrypt alleen gevolgen voor gebruikers van de oude RHEL / CentOS- en Ubuntu-filialen, die niet regelmatig updates installeren.
- Het certificaatverificatieproces in grpc is verbroken.
- Kan Cloudflare-paginaplatform niet maken.
- Problemen met Amazon Web Services (AWS).
- DigitalOcean-gebruikers hebben problemen om verbinding te maken met de database.
- Netlify-cloudplatformfout.
- Problemen met toegang tot Xero-services.
- Een poging om een āāTLS-verbinding tot stand te brengen met de MailGun Web API is mislukt.
- Bugs in macOS- en iOS-versies (11, 13, 14), die in theorie niet door het probleem zouden moeten worden beĆÆnvloed.
- Storing van Catchpoint-services.
- Kan certificaten niet controleren bij toegang tot PostMan API.
- De Guardian Firewall is gecrasht.
- Storing op de ondersteuningspagina van monday.com.
- Crash op het Cerb-platform.
- Kan uptime niet verifiƫren in Google Cloud Monitoring.
- Probleem met certificaatvalidatie op Cisco Umbrella Secure Web Gateway.
- Problemen bij het verbinden met de proxy's van Bluecoat en Palo Alto.
- OVHcloud heeft problemen met het verbinden met de OpenStack API.
- Problemen met het genereren van rapporten in Shopify.
- Er zijn problemen met de toegang tot de Heroku-API.
- Crash in Ledger Live Manager.
- Certificaatvalidatiefout in ontwikkelingstools voor Facebook-applicaties.
- Problemen in Sophos SG UTM.
- Problemen met certificaatverificatie in cPanel.
Als alternatieve oplossing wordt voorgesteld om het certificaat "DST Root CA X3" uit de systeemcertificatenopslag (/etc/ca-certificates.conf en /etc/ssl/certs) te verwijderen en vervolgens de opdracht "update-ca -ificates -f -v" uit te voeren.
Op CentOS en RHEL kunt u het "DST Root CA X3"-certificaat aan de zwarte lijst toevoegen.