Закінчується термін служби цифрового кореневого сертифіката IdenTrust DST Root CA X3
Термін дії цифрового кореневого сертифіката IdenTrust DST Root CA X3 закінчується
Термін дії цифрового кореневого сертифіката IdenTrust DST Root CA X3, який використовувався для підписання сертифікатів, виданих Let's Encrypt, ось-ось закінчиться. Проблема може торкнутися мільйонів користувачів по всьому світу.
Перехресне підписання гарантувало, що системи довіряють сертифікатам від Let's Encrypt на широкому спектрі пристроїв, операційних систем і браузерів під час інтеграції власного кореневого сертифіката Let's Encrypt в кореневі сховища сертифікатів. Однак новий проміжний сертифікат ISRG Root X1 не охоплює багато інших застарілих систем. Наприклад, після того, як кореневий каталог DST CA X3 застаріває, сертифікати Let's Encrypt більше не будуть прийматися в багатьох прошивках і операційних системах. Щоб довіряти сертифікатам Let's Encrypt, вам потрібно буде вручну додати ISRG Root X1 до кореневого сховища сертифікатів.
З проблемою можуть зіткнутися ноутбуки MacBook на базі macOS 10.12.0 і старіших версій, смартфони iPhone і iPad, які не здатні оновитися як мінімум до iOS 10, ігрових консолей PlayStation 3 і PlayStation 4 з версією прошивки старше 5.00, а також Nintendo 3DS, старі моделі смарт-телевізорів і IoT-пристроїв, що використовуються в домашній мережі.
Також проблеми з підключенням можна спостерігати на будь-якому гаджеті, що вимагає захищеного з'єднання з певним сервером. Деякі пристрої втратять доступ до тих самих сервісів потокового передавання вмісту, таких як Netflix. Проблеми можуть виникнути з поштовими службами і клієнтами банку.
Також в зоні ризику знаходяться: користувачі пристроїв на базі Android 2.3.6 і старше, систем на базі Windows XP Service Pack 2 (потрібна установка sp3), клієнтів OpenSSL версії 1.0.2 і старше, версій Ubuntu нижче 16.04, Debian 8 і старше, Java 8 нижче версії 8u141, Java 7 нижче версії 7u151, NSS нижче 3.26. Користувачам старих дистрибутивів, прив'язаних до OpenSSL 1.0.2, пропонуються три обхідні шляхи:
- Вручну видаліть кореневий сертифікат IdenTrust DST Root CA X3 і встановіть окремий (не перехресно підписаний) кореневий сертифікат ISRG Root X1;
- При запуску команд перевірки і s_client openssl можна вказати опцію «--trusted_first»;
- Використовуйте на сервері сертифікат, сертифікований окремим кореневим сертифікатом SRG Root X1, який не має перехресного підпису.
