Решение проблем c некоторыми сайтами в Windows 7

Статья

Автор: Материалы сайта habr.com, дополнено Borkich ★ (id:2)
Дата: 2021-12-06 13:41:53

Категории: Интернет, сети, web;

<h1>30 сентября истек срок действия сертификата IdenTrust DST Root CA X3 от Let's Encrypt</h1><h4 style="margin-left:0px;text-align:justify;">   30 сентября 2021 14:01:15 GMT окончился срок действия корневого сертификата IdenTrust DST Root CA X3. Это событие достойно вашего внимания по той причине, что после наступления этого момента ряд устаревших систем перестали доверять сертификатам, выпущенным центром сертификации Let’s Encrypt. С учётом того, что на текущий момент Let's Encrypt предоставляет бесплатные криптографические сертификаты примерно для <a href="https://letsencrypt.org/stats/">250 миллионов доменных имен</a>, а "устаревшие системы" - это порой системы возрастом всего 5-6 лет, и окончание срока действия сертификата DST Root CA X3 не прошло для всех гладко и незаметно. Теперь при попытке с любого браузера, будь то Opera, Chrome или Mozila FireFox зайти на любой сайт, поддерживающий расширенный протокол https, который отличается от протокола http поддержкой шифрования, система ругается на невозможность установить это самое защищенное (зашифрованное) соединение. Проблема как раз в истекшем сертификате безопасности. Что можно с этим сделать?</h4><h4 style="margin-left:0px;">На стороне клиента</h4><h3 style="margin-left:0px;text-align:center;"><span style="color:hsl(240,75%,60%);">Для операционной системы Windows:</span></h3><h4 style="margin-left:0px;">Для пользователей, у которых не подключены автоматические обновления корневых сертификатов, можно добавить сертификат ISRG Root X1 вручную. Для этого нужно скачать сертификат с сайта LetsEncrypt по ссылке <a href="https://letsencrypt.org/certs/isrgrootx1.der">https://letsencrypt.org/certs/isrgrootx1.der</a> или с <a href="upload/2021-12-06/150144-isrgrootx1.zip">этого сайта</a>. Открыть скачанный файл, в открывшемся окне выбрать "Установить сертификат..."</h4><figure class="table" style="width:40%;"><table><tbody><tr><td><figure class="image"><img src="upload/2021-12-06/150246-isrgrootx1-1.jpg"></figure></td></tr></tbody></table></figure><h4 style="margin-left:0px;">В мастере импорта сертификатов выбрать "Локальный компьютер":</h4><figure class="table" style="width:40%;"><table><tbody><tr><td><figure class="image"><img src="upload/2021-12-06/150305-isrgrootx1-2.jpg"></figure></td></tr></tbody></table></figure><h4 style="margin-left:0px;">Выбрать "Поместить все сертификаты в следующее хранилище", в диалоге выбора хранилища, открывающемся по кнопке "Обзор...", выбрать "Доверенные корневые центры сертификации":</h4><figure class="table" style="width:40%;"><table><tbody><tr><td><figure class="image"><img src="upload/2021-12-06/150325-isrgrootx1-3.jpg"></figure></td></tr></tbody></table></figure><h4 style="margin-left:0px;">На последнем шаге мастера нажать кнопку "Готово". После выполнения этой последовательности шагов, сертификат должен появиться в защищенном хранилище. Чтобы проверить это, нужно нажать комбинацию клавиш </h4><blockquote><h4 style="margin-left:0px;">Win+R </h4></blockquote><h4>откроется диалог «Выполнить», в котором нужно ввести </h4><blockquote><h4><i>certmgr.msc</i></h4></blockquote><figure class="table" style="width:40%;"><table><tbody><tr><td><figure class="image"><img src="upload/2021-12-06/150347-isrgrootx1-4.jpg"></figure></td></tr></tbody></table></figure><h4 style="margin-left:0px;">В открывшемся окне в подразделе "Сертификаты" раздела "Доверенные корневые центры сертификации" в списке должен появиться сертификат ISRG Root X1:</h4><figure class="table" style="width:60%;"><table><tbody><tr><td><figure class="image"><img src="upload/2021-12-06/150409-isrgrootx1-5.jpg"></figure></td></tr></tbody></table></figure><h4 style="margin-left:0px;"> </h4><h4 style="margin-left:0px;text-align:center;"><span style="color:hsl(240,75%,60%);">Для операционной системы Linux:</span></h4><h4 style="margin-left:0px;">Для того, чтобы проверить, как поведёт себя ваша система при обращении к сайтам, использующим сертификаты Let's Encrypt, после 30 сентября, можно воспользоваться утилитой faketime. В Debian и Ubuntu она доступна в пакете faketime.</h4><blockquote><h4 style="margin-left:0px;">faketime -f '@2021-10-01 00:00:00' curl https://letsencrypt.org/</h4></blockquote><h4 style="margin-left:0px;">Если всё в порядке, curl вернёт содержимое страницы, если же нет - выдаст сообщение об ошибке:</h4><blockquote><h4 style="margin-left:0px;"><i>curl: (60) server certificate verification failed.</i></h4></blockquote><h4 style="margin-left:0px;">В этом случае нужно убедиться, что:</h4><h4 style="margin-left:0px;">Ваша система доверяет ISRG Root X1 ;</h4><h4 style="margin-left:0px;">Вы не пользуетесь устаревшей версией OpenSSL</h4><h4 style="margin-left:0px;"><u>Проверка доверия к ISRG Root X1</u></h4><h4 style="margin-left:0px;">Например, Ubuntu 16.04 xenial и Debian 8 jessie доверяют ISRG Root X1, но при этом поставляются с OpenSSL 1.0.x, поэтому проблема их может коснуться.</h4><h4 style="margin-left:0px;">Чтобы проверить наличие сертификата ISRG Root X1 в числе доверенных:</h4><h4 style="margin-left:0px;">в Debian/Ubuntu:</h4><blockquote><h4 style="margin-left:0px;">awk -v cmd='openssl x509 -noout -subject' ' /BEGIN/{close(cmd)};{print | cmd}' < /etc/ssl/certs/ca-certificates.crt | grep "ISRG Root X1"</h4></blockquote><h4 style="margin-left:0px;">в CentOS:</h4><blockquote><h4 style="margin-left:0px;">awk -v cmd='openssl x509 -noout -subject' ' /BEGIN/{close(cmd)};{print | cmd}' < /etc/ssl/certs/ca-bundle.crt | grep "ISRG Root X1"</h4></blockquote><h4 style="margin-left:0px;">В выводе команды в обоих случаях должно присутствовать:</h4><blockquote><h4 style="margin-left:0px;"><i>subject= /C=US/O=Internet Security Research Group/CN=ISRG Root X1</i></h4></blockquote><h4 style="margin-left:0px;">Если такой строчки нет, то нужно добавить ISRG Root X1 в доверенные. В Debian/Ubuntu:</h4><blockquote><h4 style="margin-left:0px;">curl -k https://letsencrypt.org/certs/isrgrootx1.pem.txt | sudo tee /usr/share/ca-certificates/mozilla/ISRG_Root_X1.crt</h4></blockquote><h4 style="margin-left:0px;">добавить в файл /etc/ca-certificates.conf строчку:</h4><blockquote><h4 style="margin-left:0px;"><i>mozilla/ISRG_Root_X1.crt</i></h4></blockquote><h4 style="margin-left:0px;">и выполнить комнаду</h4><blockquote><h4 style="margin-left:0px;">sudo update-ca-certificates</h4></blockquote><h4 style="margin-left:0px;"><u>Проверка версии OpenSSL</u></h4><h4 style="margin-left:0px;">Если система доверяет ISRG Root X1, нужно проверить версию OpenSSL</h4><blockquote><h4 style="margin-left:0px;">openssl version</h4></blockquote><h4 style="margin-left:0px;">В выводе должна быть версия 1.1.0 или новее.</h4><h4 style="margin-left:0px;">Если используется OpenSSL 1.0.x, то достаточным решением проблемы будет удалить из доверенных сертификат DST Root CA X3 <strong>(это решение может не сработать для openssl версий <1.0.1p и <1.0.2d)</strong>. Это можно сделать, не дожидаясь 30 сентября.</h4><h4 style="margin-left:0px;">В Debian/Ubuntu:</h4><h4 style="margin-left:0px;">В файле /etc/ca-certificates.conf нужно найти строчку:</h4><blockquote><h4 style="margin-left:0px;"><i>mozilla/DST_Root_CA_X3.crt</i></h4></blockquote><h4 style="margin-left:0px;">и поставить в начало сроки символ "!":</h4><blockquote><h4 style="margin-left:0px;"><i>!mozilla/DST_Root_CA_X3.crt</i></h4></blockquote><h4 style="margin-left:0px;">Далее, необходимо выполнить команду:</h4><blockquote><h4 style="margin-left:0px;">sudo update-ca-certificates</h4></blockquote><h4 style="margin-left:0px;">В CentOS</h4><h4 style="margin-left:0px;">Выполнить команды:</h4><blockquote><h4 style="margin-left:0px;">trust dump --filter "pkcs11:id = %c4%a7%b1%a4%7b%2c%71%fa %db%e1%4b%90%75%ff%c4%15%60%85%89%10" | openssl x509 | sudo tee /etc/pki/ca-trust/source/blacklist/DST-Root-CA-X3.pem</h4></blockquote><blockquote><h4 style="margin-left:0px;">sudo update-ca-trust</h4></blockquote><h4 style="margin-left:0px;"><u>Локальное продление срока действия сертификата DST Root CA X3</u></h4><h4 style="margin-left:0px;">Для тех случаев, когда используется совсем старый openssl (версии меньше 1.0.1p и 1.0.2d, но новее 0.9.8m), или по иной причине не срабатывает метод с изъятием из доверенных сертификата DST Root CA X3, можно воспользоваться еще одним методом, предложенным в <a href="https://scotthelme.co.uk/should-clients-care-about-the-expiration-of-a-root-certificate/">статье</a> <a href="https://scotthelme.co.uk/author/scott/">Scott'а Helme</a>. Метод основан на том, что OpenSSL, начиная с версии 0.9.8m, не проверяет сигнатуру сертификатов, хранящихся в локальном защищенном хранилище. Таким образом, можно изменить время действия сертификата в защищенном хранилище, при этом модифицированный сертификат будет по-прежнему восприниматься OpenSSL как валидный. Для того, чтобы продлить для OpenSSL на системе срок действия сертификата DST Root CA X3 еще на три года можно выполнить следующие команды:</h4><h4 style="margin-left:0px;">Debian/Ubuntu:</h4><blockquote><h4 style="margin-left:0px;">sudo sed -i "s/xMDkzMDE0MDExNVow/0MDkzMDE4MTQwM1ow/g" /etc/ssl/certs/DST_Root_CA_X3.pem</h4></blockquote><blockquote><h4 style="margin-left:0px;">sudo update-ca-certificates</h4></blockquote><h4 style="margin-left:0px;">CentOS:</h4><blockquote><h4 style="margin-left:0px;">sudo sed -i "s/xMDkzMDE0MDExNVow/0MDkzMDE4MTQwM1ow/g" /etc/ssl/certs/ca-bundle.crt</h4></blockquote><blockquote><h4 style="margin-left:0px;">sudo update-ca-trust</h4></blockquote><h4 style="margin-left:0px;"><strong>Не забудьте проверить так же все ваши контейнеры!!! У них свои хранилища корневых сертификатов и могут использоваться другие версии openssl</strong></h4><h3 style="margin-left:0px;text-align:center;"><span style="color:hsl(240,75%,60%);">На стороне сервера </span></h3><h4 style="margin-left:0px;">На стороне сервера от вас мало что зависит. Если вы используете сертификаты от Let's Encrypt на своем сервере, то должны понимать, что после 30 сентября 2021 14:01:15 GMT к вашему серверу смогут без проблем подключиться только клиенты, доверяющие ISRG Root X1 (<a href="https://habr.com/ru/post/580092/#ISRG_Root%20X1_trust_list">см. список выше</a>), а также использующие Android >= v2.3.6. При этом, если клиенты используют OpenSSL, то они должны пользоваться версией OpenSSL >= 1.1.0.</h4><h4 style="margin-left:0px;">При этом, у вас есть выбор - ценой отказа от поддержки старых Android (оставив поддержку Android >= 7.1.1), вы можете сохранить поддержку OpenSSL 1.0.x без манипуляций на стороне клиента.</h4><h4 style="margin-left:0px;">Для этого нужно использовать предлагаемую Let's Encrypt альтернативную цепочку доверия для своих сертификатов. В этой цепочке исключен DST Root CA X3 и выглядит она так:</h4><blockquote><h4 style="margin-left:0px;"><i>ISRG Root X1 -> Let's Encrypt R3 -> Конечный сертификат пользователя</i></h4></blockquote><h4 style="margin-left:0px;">Для переключения на альтернативную цепочку нужно воспользоваться документацией вашего ACME-клиента. В частности, в certbot за возможность выбора альтернативной цепочки отвечает параметр --preferred-chain.</h4><p style="margin-left:0px;text-align:right;"><i>Материал заимствован с сайта </i><a href="https://habr.com/ru/post/580092/" target="_blank"><i>https://habr.com/</i></a><i> методика проверена на компьютере с операционной системой Windows 7 Home Preium x86.</i></p>

Чтобы написать комментарий нужно, зарегистрироваться

Голосования и тесты: 0

	[11:50]
	[🔒]

Статьи, публикации, обзоры, заметки