Kahapon ay ibinahagi namin dito sa blog ang balita tungkol sa pagtatapos ng IdenTrust certificate (DST Root CA X3) na ginagamit sa pagpirma sa Let's Encrypt CA certificate na nagdulot ng mga problema sa pagpapatunay ng Let's Encrypt certificate sa mga proyektong gumagamit ng mga mas lumang bersyon ng OpenSSL at GnuTLS.
Naapektuhan din ng mga problema ang LibreSSL library, na ang mga developer ay hindi isinasaalang-alang ang nakaraang karanasan na may kaugnayan sa mga pagkabigo na naganap matapos mag-expire ang AddTrust root certificate ng Sectigo (Comodo) certification authority.
Sa mga bersyon ng OpenSSL hanggang at kabilang ang 1.0.2 at sa mga bersyon ng GnuTLS bago ang 3.6.14, nagkaroon ng error na pumigil sa tamang pagproseso ng mga cross-signed certificate kung ang isa sa mga root certificate na ginamit para sa pagpirma ay nag-expire na, kahit na may iba pang mga valid na certificate na natitira.
Ang esensya ng error ay ang mga naunang bersyon ng OpenSSL at GnuTLS ay nag-parse ng certificate bilang isang linear chain, samantalang ayon sa RFC 4158, ang isang certificate ay maaaring kumatawan sa isang directed distributed pie chart na may maraming trust anchor na dapat isaalang-alang.
Agad na naglabas ang proyektong OpenBSD ng mga patch para sa mga branch 6.8 at 6.9 ngayon, na nag-aayos ng mga isyu sa LibreSSL gamit ang cross-signed certificate verification. Nag-expire na ang isa sa mga root certificate sa trust chain. Bilang solusyon, inirerekomenda na baguhin ang HTTPS sa HTTP sa `/etc/installurl` (hindi nito naaapektuhan ang seguridad, dahil ang mga update ay bine-verify pa rin gamit ang mga digital signature) o pumili ng alternatibong mirror (ftp.usa.openbsd.org, ftp.hostserver.de, cdn.openbsd.org).
Maaari mo ring alisin ang nag-expire nang DST Root CA X3 certificate mula sa /etc/ssl/cert.pem file, at ang syspatch utility na ginagamit para mag-install ng mga binary system update ay tumigil na sa paggana sa OpenBSD.
Ang mga katulad na problema sa DragonFly BSD ay nangyayari kapag nagtatrabaho sa DPorts. Kapag sinisimulan ang tagapamahala ng package ng pkg, nabuo ang isang error sa pagpapatunay ng sertipiko. Ang pag-aayos ay naidagdag sa mga master branch, DragonFly_RELEASE_6_0 at DragonFly_RELEASE_5_8 ngayon. Bilang isang pag-areglo, maaari mong alisin ang sertipiko ng DST Root CA X3.
Ilan sa mga pagkabigong naganap matapos kanselahin ang sertipiko ng IdenTrust ay ang mga sumusunod:
- Ang proseso ng pag-verify ng sertipiko ng Let's Encrypt ay nagambala sa mga application batay sa electron platform. Ang isyu na ito ay naayos sa mga pag-update 12.2.1, 13.5.1, 14.1.0, 15.1.0.
- Ang ilang mga pamamahagi ay nagkakaproblema sa pag-access sa mga repository ng package kapag ginagamit ang APT package manager na may kasamang mga mas lumang bersyon ng GnuTLS library.
- Ang Debian 9 ay apektado ng hindi naipadala na package ng GnuTLS, na nagdudulot ng mga problema sa pag-access sa deb.debian.org para sa mga gumagamit na hindi nag-install ng mga update sa oras (ayusin ang gnutls28-3.5.8-5 + deb9u6 ay iminungkahi noong 17 ng Setyembre).
- Ang kliyente ng acme ay nasira sa OPNsense, ang isyu ay naiulat nang maaga, ngunit nabigo ang mga developer na palabasin ang patch sa oras.
- Naapektuhan ng isyu ang pakete ng OpenSSL 1.0.2k sa RHEL / CentOS 7, ngunit isang linggo ang nakakaraan para sa RHEL 7 at CentOS 7, isang pag-update sa ca-certificate-2021.2.50-72.el7_9.noarch package ay nabuo, kung saan ang The Ang sertipiko ng IdenTrust ay tinanggal, iyon ay, ang paghahayag ng problema ay na-block muna.
- Dahil maagang inilabas ang mga pag-update, ang problema sa pag-verify ng sertipiko ng Let's Encrypt ay nakakaapekto lamang sa mga gumagamit ng lumang sangay ng RHEL / CentOS at Ubuntu, na hindi regular na nag-i-install ng mga pag-update.
- Ang proseso ng pag-verify ng sertipiko sa grpc ay nasira.
- Nabigong lumikha ng platform ng pahina ng Cloudflare.
- Mga isyu sa Amazon Web Services (AWS).
- Ang mga gumagamit ng DigitalOcean ay nagkakaproblema sa pagkonekta sa database.
- Netlify na pagkabigo ng cloud platform.
- May mga problema sa pag-access sa mga serbisyo ng Xero.
- Nabigo ang isang pagtatangka upang maitaguyod ang isang koneksyon sa TLS sa MailGun Web API.
- Mga bug sa mga bersyon ng macOS at iOS (11, 13, 14), na ayon sa teoretikal na hindi dapat apektado ng problema.
- Nabigo ang mga serbisyo sa Catchpoint.
- Nabigong suriin ang mga sertipiko kapag na-access ang PostMan API.
- Bumagsak ang Guardian Firewall.
- Pagkagambala sa pahina ng suporta ng monday.com.
- Pag-crash sa platform ng Cerb.
- Hindi ma-verify ang uptime sa Google Cloud Monitoring.
- I-isyu na may pagpapatunay ng sertipiko sa Cisco Umbrella Secure Web Gateway.
- Mga problema sa pagkonekta sa mga proxy ng Bluecoat at Palo Alto.
- Nagkakaproblema ang OVHcloud sa pagkonekta sa OpenStack API.
- Mga problema sa pagbuo ng mga ulat sa Shopify.
- Mayroong mga problema sa pag-access sa Heroku API.
- Pag-crash sa Ledger Live Manager.
- Error sa pagpapatunay ng sertipiko sa mga tool sa pag-unlad ng application ng Facebook.
- Mga problema sa Sophos SG UTM.
- May mga problema sa pag-verify ng sertipiko sa cPanel.
Bilang alternatibong solusyon, iminumungkahi na alisin ang sertipiko na "DST Root CA X3" mula sa system store (/etc/ca-certificates.conf at /etc/ssl/certs) at pagkatapos ay patakbuhin ang utos na "update-ca -ificates -f -v".
Sa CentOS at RHEL, maaari mong idagdag ang sertipiko ng "DST Root CA X3" sa blacklist.