🎁 🕺🏿 🧚🏿 30 मई, 2020 को Sectigo का AddTrust रूट प्रमाणपत्र की समय सीमा समाप्त हो गई, जिससे ओपनएसएसएल 1.0.x और GnuTLS क्लाइंट को समस्या हुई ⚜️ 🗯️ ℹ️

सेक्टिगो सर्टिफिकेशन अथॉरिटी (कोमोडो) ने उपयोगकर्ताओं को AddTrust रूट प्रमाणपत्र की समाप्ति के पहले चेतावनी दी थी , जिसका उपयोग क्रॉस-साइनिंग के लिए किया गया था, ताकि विरासत उपकरणों के साथ संगतता सुनिश्चित हो सके कि भंडारण में एक नया USERTrust रूट प्रमाणपत्र नहीं है।

AddTrust 20 मई, 2020 को 10:48:38 UTC पर समाप्त हो गया। दुर्भाग्य से, समस्याएं न केवल पुराने ब्राउज़रों में, बल्कि OpenSSL 1.0.x, LibreSSL और GnuTLS पर आधारित गैर-ब्राउज़र क्लाइंट में भी उत्पन्न हुईं । उदाहरण के लिए, Roku में सेट-टॉप बॉक्स (देखें तकनीकी समर्थन में जवाब , 05/30/2020 दिनांकित) Heroku , फोर्टीनेट में, लिनक्स और तहत Chargify आवेदन, नेट कोर 2.0 मंच पर कई अन्य लोगों के।

यह माना गया कि समस्या केवल लीगेसी सिस्टम (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, आदि) को प्रभावित करेगी, क्योंकि आधुनिक ब्राउज़र दूसरे USERTRust रूट प्रमाणपत्र का उपयोग कर सकते हैं, जैसा कि आरेख में दिखाया गया है।

सर्टिफिकेट चेन

लेकिन 30 मई, 2020 को, वास्तव में, सैकड़ों ओपन वेब सेवाओं में क्रैश शुरू हो गया, जिसमें मुक्त ओपनएसएसएल 1.0.x और GnuTLS लाइब्रेरी का उपयोग किया गया था। प्रमाणपत्र अप्रचलन त्रुटि के साथ एक सुरक्षित कनेक्शन स्थापित होना बंद हो गया है। OpenSSL बग ट्रैकर (उपयोगकर्ता नाम और पासवर्ड) में

संबंधित टिकट 25 फरवरी, 2020 को केवल OpenSSL 1.1.0 संस्करण के लिए बंद कर दिया गया था।

त्रुटि क्यों होती है

जब कोई क्लाइंट कनेक्ट होता है, तो टीएलएस सर्वर उसे अपना प्रमाणपत्र भेजता है। क्लाइंट को सर्वर सर्टिफिकेट से लेकर रूट सर्टिफिकेट तक की एक चेन बनानी होगी जो क्लाइंट को भरोसा हो। क्लाइंट को इस श्रृंखला को बनाने में मदद करने के लिए, सर्वर अपने साथ एक अतिरिक्त या एक से अधिक मध्यवर्ती प्रमाण पत्र भेजता है।

उदाहरण के लिए, एक वेबसाइट निम्नलिखित दो प्रमाण पत्र भेजती है:

1।
विषय = * .habr.com
प्रकाशक = Sectigo ECC डोमेन सत्यापन सुरक्षित सर्वर CA
कार्रवाई की शुरुआत = शनिवार, 30 मई, 2020 03:00:00
समाप्ति तिथि = शुक्रवार, 3 दिसंबर, 2021 02:59:59

2।
विषय = Sectigo ECC डोमेन सत्यापन सुरक्षित सर्वर CA
प्रकाशक = USERTrust ECC प्रमाणन प्राधिकरण
कार्रवाई की शुरुआत = शुक्रवार, २ नवंबर २०१, 03:00:00
कार्रवाई का अंत = बुधवार, 1 जनवरी, 2031 02:59:59

पहला प्रमाणपत्र सर्वर से संबंधित है और इसे Sectigo प्रमाणपत्र प्राधिकरण द्वारा जारी किया गया है। दूसरा USERTrust ECC प्रमाणन प्राधिकरण द्वारा जारी किया गया है और यह मूल प्रमाण पत्र है। ये दो प्रमाण पत्र एक विश्वसनीय जड़ के लिए एक पूरी श्रृंखला बनाते हैं।

हालाँकि, USERTrust प्रमाणन प्राधिकरण एक अपेक्षाकृत नई जड़ है। यह 2010 में बनाया गया था, और सभी ग्राहकों को इस पर भरोसा करने में कई साल लग गए। पिछले साल, ऐसी रिपोर्टें थीं कि व्यक्तिगत ग्राहक इस रूट पर भरोसा नहीं करते हैं। इसलिए, कुछ सर्वर क्लाइंट को AddTrust बाहरी CA रूट द्वारा जारी एक अतिरिक्त USERTrust ECC प्रमाणन प्राधिकरण मध्यवर्ती प्रमाण पत्र भेजते हैं। यह प्रमाणपत्र 2000 में बनाया गया था, और यह उनका प्रमाणपत्र था जो 30 मई, 2020 को समाप्त हो गया था।

आधुनिक ब्राउज़र सहित सक्षम प्रमाण पत्र सत्यापनकर्ताओं के लिए, यह समस्या पैदा नहीं करता था, क्योंकि वे खुद USERTrust से पहले विश्वास की एक श्रृंखला का निर्माण कर सकते हैं, लेकिन ग्राहकों के साथ एक समस्या थी जो ओपनएसएसएल 1.0.x या GnuTLS का उपयोग करते हैं। भले ही ये ग्राहक USERTrust रूट प्रमाणन प्राधिकरण पर भरोसा करते हैं और इसके लिए एक श्रृंखला बनाना चाहते हैं, फिर भी वे AddTrust External CA Root की एक श्रृंखला के साथ समाप्त होते हैं, जिसके कारण प्रमाणपत्र सत्यापन विफल हो जाता है।

Sectigo ने एक वैकल्पिक क्रॉस-हस्ताक्षरित मध्यवर्ती प्रमाणपत्र AAA प्रमाणपत्र सेवा प्रदान की है , जो 2028 तक मान्य होगी।

आपकी सेवाओं की जाँच करना

सर्वर हैंडलर और क्लाइंट एप्लिकेशन ऑपरेटरों को एक पुरानी AddTrust रूट प्रमाणपत्र के लिए अपनी प्रमाणपत्र श्रृंखला की जांच करने के लिए प्रोत्साहित किया जाता है।

अनिवार्य रूप से, आपको विश्वास श्रृंखला से AddTrust बाहरी CA रूट को निकालने की आवश्यकता है।

सर्वर ऑपरेटरों के लिए एक सेवा है जो मेरी श्रृंखला प्रमाणपत्र है? , जो इस चेक को निष्पादित करता है और सभी आवश्यक मध्यवर्ती प्रमाणपत्रों के साथ एक नई ट्रस्ट श्रृंखला उत्पन्न करने में मदद करता है। इस श्रृंखला में एक रूट प्रमाणपत्र शामिल करना आवश्यक नहीं है, क्योंकि सभी ग्राहक पहले से ही स्टोर में हैं। इसके अलावा, एसएसएल हैंडशेक के आकार में वृद्धि के कारण श्रृंखला में इसे शामिल करना अक्षम है।

क्लाइंट एप्लिकेशन ऑपरेटरों को नवीनतम टीएलएस लाइब्रेरी में अपग्रेड करने की सलाह दी जाती है। यदि यह संभव नहीं है, तो आपको अपने संग्रहण से AddTrust बाहरी CA रूट प्रमाणपत्र को निकालना होगा। यदि यह रिपॉजिटरी में नहीं है, तो नए रूट प्रमाणपत्र USERTrust RSA प्रमाणन प्राधिकरण पर विश्वास की सही श्रृंखला बनाई गई है, ताकि टीएलएस जांच सही हो।

AddTrust बाहरी CA रूट को हटाने के लिए आपको निम्नलिखित कार्य करने होंगे :

संपादित करें /etc/ca-certificates.confऔर टिप्पणी करेंmozilla/AddTrust_External_Root.crt
Daud update-ca-certificates

इस समस्या को ठीक करने के लिए, फेडोरा और आरएचईएल ने सुझाव दिया है कि एड लिस्ट सर्टिफिकेट को ब्लैकलिस्ट में जोड़ा जाए:

 trust dump --filter "pkcs11:id=%AD%BD%98%7A%34%B4%26%F7%FA%C4%26%54%EF%03%BD%E0%24%CB%54%1A;type=cert" \
> /etc/pki/ca-trust/source/blacklist/addtrust-external-root.p11-kit
update-ca-trust extract

लेकिन यह विधि GnuTLS के लिए काम नहीं करती है।

इसे भी देखें:
" हेबर कॉर्पोरेट ब्लॉग में 30 मई, 2020 के बाद सेक्टिगो प्रमाणपत्र और एक समाधान पद्धति के साथ समस्या "

अपने उद्यम के लिए पीकेआई समाधान। हमसे संपर्क करें +7 (499) 678 2210, sales-ru@globalsign.com।

30 मई, 2020 को Sectigo का AddTrust रूट प्रमाणपत्र की समय सीमा समाप्त हो गई, जिससे ओपनएसएसएल 1.0.x और GnuTLS क्लाइंट को समस्या हुई

त्रुटि क्यों होती है

आपकी सेवाओं की जाँच करना

More articles: