URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 113249
[ Назад ]

Исходное сообщение
"Инцидент с уязвимостью в сервисе Let's Encrypt"

Отправлено opennews , 10-Янв-18 09:45 
Сервис Let's Encrypt экстренно отключил (https://letsencrypt.status.io/) поддержку проверки владения доменом с использованием метода TLS-SNI-01 из-за разбора сведений о наличии уязвимости в его реализации. Достоверность информации о проблеме оценивается (https://letsencrypt.status.io/pages/incident/55957a99e800baa...) как высокая, но детальные данные о сути уязвимости пока не сообщаются. Упоминается только то, что уязвимость позволяла получить неправомерный сертификат от Let's Encrypt. Инцидент затрагивает работу серверов
acme-v01.api.letsencrypt.org (первичный), acme-staging.api.letsencrypt.org (резерв) и acme-staging-v02.api.letsencrypt.org (резерв).


По имеющимся данным (https://news.ycombinator.com/item?id=16112894) проблема связана с логикой взаимодействия протокола и сервисов провайдера. Отключение TLS-SNI полностью блокирует проявление уязвимости. Решено об отключении TLS-SNI на постоянной основе пока не принято и работа команды сосредоточена на выработке исправления, которое позволило бы вернуть поддержку TLS-SNI. В настоящее время не найдено признаков эксплуатации проблемы, кроме проверочных атак, выполненных исследователем, выявившим уязвимость.

URL: https://news.ycombinator.com/item?id=16112237
Новость: http://www.opennet.dev/opennews/art.shtml?num=47882


Содержание

Сообщения в этом обсуждении
"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Витя Пиканов , 10-Янв-18 09:45 
Капец, ждем подробностей.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 10:03 
Теперь все самые умные начнут орать, что бесплатнатные CA - зло, забыв указать, что платные - существенно большее зло, хотя бы потому, что платные будут о проблеме молчать до последнего (годами!), чтобы только продолжать з/п и бонусы получать, а LE взялись за решение, не дожидаясь массовой эксплуатации вопроса.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 10:08 
> платные будут о проблеме молчать до последнего (годами!), чтобы только продолжать з/п и бонусы получать

Любопытная гипотеза. Впрочем, насчет пруфов можешь не беспокоиться -- я уже слепо поверил тебе на слово и теперь ненавижу "платные СА" всей душой и сердцем.


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено X4asd , 10-Янв-18 10:18 
> и теперь ненавижу "платные СА" всей душой и сердцем

а что -- есть те кто их любят?


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено А , 10-Янв-18 12:26 
Судя по ценам на сертификаты от Симантека ("пока не всплыли жуткие подробности") - да.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено dep , 10-Янв-18 15:55 
Какой там был порядок цен до и после?

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 21:10 
Больше миллиарда зелени за контору целиком до и чуть меньше после.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено depeche , 10-Янв-18 21:11 
Та я о ценах сертификатов спрашиваю.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 16:44 
Можешь больше не просить у него пруфы, т.к. прими мои слова за доказательство: если у меня будет платный сервис, то он до последнего будет молчать годами в надежде что все забудется и пронесет. И если ради этого придется кому-то "задонатить" не в убыток себе, то будь уверен - будет сделано все лишь бы получать доход, з/п и бонусы. Пойми что платный сервис должен приносить только доход!
Все.

PS: Ты можешь думать что я один в мире такой, с такой "уникальный" позицией и успокоиться на этом посчитав что угроз нет. - Что ж, твое право (или тупость).


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 18:27 
Фу таким быть!

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 21:32 
Куда деваться если борбьа за выживание обязывает? Можешь меня ненавидеть, но нас миллионы. Миллиарды.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Алког , 13-Янв-18 06:05 
> Можешь больше не просить у него пруфы, т.к. прими мои слова за
> доказательство: если у меня будет платный сервис, то он до последнего
> будет молчать годами в надежде что все забудется и пронесет.

Угу. Обворовываемые лохи однако причитать будут... Впрочем конечно кого эти лохи волнуют >:-)


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Антонима , 10-Янв-18 10:16 
пока лодку раскачиваете только вы, вот уже и предсказали вопли "самых умных" касаемо инцидента, как такое может в голову прийти малообразованному человеку, неясно.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено anomymous , 10-Янв-18 10:42 
Зло - бесплатные CA с интервалом обновления 3 месяца.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено A.Stahl , 10-Янв-18 10:51 
Ну не руками же тебе их обновлять. Скрипт есть.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено anomymous , 10-Янв-18 11:57 
Как бы тебе объяснить: я не доверяю системам, выдающим сертификаты без подтверждения того, что владелец состоит из мяса, кожи, костей и прочих органических субстанций. Хотя бы капчей.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено A.Stahl , 10-Янв-18 12:21 
Я не спец во всяких этих сертификатах-секьюриратах, но всегда считал что сертификаты это не про "мясо, кожу и кости", а про соответствие домена и пришедших данных.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено jfjfjfj , 10-Янв-18 21:52 
То есть выдал судебное постановление регистратору - и можешь подменять сертификат пайратбея?

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Алког , 13-Янв-18 06:28 
> То есть выдал судебное постановление регистратору - и можешь подменять сертификат пайратбея?

И тут внезапно всплывают такие вещи, как легитимность так называемых "судов", коррумпированность и вообще их подмена...


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено А , 10-Янв-18 12:28 
> Как бы тебе объяснить: я не доверяю системам, выдающим сертификаты без подтверждения
> того, что владелец состоит из мяса, кожи, костей и прочих органических
> субстанций. Хотя бы капчей.

Т.е. подтверждения владения доменом тебе мало? ))

А капчу распознать через сеть живых роботов, если на нейросеть мозгов нет, так трудно, что это прямо подтверждает, что распознавший к домену имеет отношение?


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено КО , 10-Янв-18 13:31 
А разве речь идет о владении доменом? Вроде бы достаточно слегка им поуправлять, ну или создать видимость для выдающего сертификат.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено . , 10-Янв-18 13:59 
> Т.е. подтверждения владения доменом тебе мало? ))

владение и возможность нагадить на этом домене - разные вещи.
Ваш любимый (ибо вы нищeброды и экономите три копейки) халявный помоешник проверяет именно последнее. И, ну надо же, никогда не было, и вот, опять - споткнулся о то, что нагадить, оказывается, можно даже не имея к домену никакого отношения вовсе.
А первое - юридическая категория.


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 18:35 
> подтверждения того, что владелец состоит из мяса, кожи, костей и прочих органических субстанций

Защита от регистрации домена ботом — забота регистратора домена и к сертификатам отношения не имеет. Также как наличие/отсутствие "органических субстанций" во владельце никак не связано с его добропорядочностью (во взломщиках, вирусописателях и т.п. этих субстанций не меньше, чем в любом другом человеке).


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 19:53 
> органических субстанций

Ты расист и ксенофоб!


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено anomymous , 10-Янв-18 12:05 
Ну и да, сотни любителей скриптов с этим отключением TLS-SNI challenge уже влетели :)

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 19:23 
Отлично, минус сотни ботов для ботнетов. Глядишь научатся следить за серверами хоть иногда.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено angra , 10-Янв-18 19:45 
И как же именно они влетели? Или ты не в курсе, что сертификат можно обновлять не за пять минут до истечения его срока, а за пару недель или даже больше? Так что никаких проблем у подавляющего большинства любителей скриптов за время разбора инцидента не возникнет.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Sw00p aka Jerom , 11-Янв-18 02:11 
>>можно обновлять

обновляешь - по истечению срока, до - отзываеш


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Andrey Mitrofanov , 10-Янв-18 11:10 
> Зло - бесплатные CA с интервалом обновления 3 месяца.

У нас есть гордый победитель и первонкс номинации "все самые умные начнут орать". Ура, оскар отдыхает.


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено А , 10-Янв-18 12:29 
> Зло - бесплатные CA с интервалом обновления 3 месяца.

Зло - ленивые админы. Раз в год они бегают по серверам и меняют серты руками, т.к. скриптом не осилили, а раз в 3 месяца им влом.


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено . , 10-Янв-18 14:02 
>> Зло - бесплатные CA с интервалом обновления 3 месяца.
> Зло - ленивые админы. Раз в год они бегают по серверам и
> меняют серты руками, т.к. скриптом не осилили, а раз в 3

мы осилили. И совершенно сознательно не доверяем критическую часть своей безопасности твоим замечательным скриптам (в которых ты "осилил" скачать незнамочто незнамооткуда и неглядя запустить - параметры скопировал со stackoverflow - великий осилятор)

> месяца им влом.

а раз в три месяца (с контролем результата и принятием мер если что-то показалось подозрительным) - физически невозможно, если это не локалхост.


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено gaga , 10-Янв-18 14:51 
Ну хз что ты там не можешь скриптом обновить. У ЛЕ есть опция - только скачать сертификаты, не устанавливая их в веб-сервер автоматически. Так вот, у нас скрипт так и делает: генерирует новый серт, делает стандартный sanity-check (даты, CN, алгоритмы и т.д.), устанавливает его на тестовый сервер, после чего проверяет, что к нему можно без проблем подключиться клиентом, и только после этого копирует его в продакшн-сервер и шедулит рестарт на следующий день, уведомляя всех заинтересованных письмом. Имхо это значительно надежней, чем руками что-то там куда-то копировать.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено _ , 10-Янв-18 17:29 
Ну положим твоим коллегам повезло. И таких аж 0.0003% :-)
Остальные берут копипасту со стэковерфлоу, и "не приходя в сознание" ставят это в рутовый крон 8-/

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено пох , 10-Янв-18 17:52 
> Ну положим твоим коллегам повезло.

да не очень. Радости читать такие письма щастья, когда раз в месяц надо обновлять/перезагружать каждый из n...нет, мало, m серверов - ровно никакой, никто их и не читает. Хорошо если вовремя прочитывают "уп-с, а оно тут не обновилось, ну ничего, у тебя еще два месяца на разобраться и поправить". А то, в большой структуре, бывает что и до этого за два месяца руки не доходят (потому что других, срочных алармов - сотни), опа, серт превратился в тыкву.

затобеслатна! и не от проклятых китайцев, а от правильных гуглоиндусов.

а большинство "осиливших скрипты" и того не могут (и зачем вообще самому что-то ставить в крон, оно apt-get install и через час уже забыло... а от какого пользователя - вообще хз, в крон смотреть некогда, надо дальше ляпать)


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено непох , 10-Янв-18 18:16 
я конечно подозревал, что понятия "жава", "ынтрепрайз" и "индусы" неслабо кореллируют, но такого отсутствия фантазии и навыков, чтобы настроить роботов делать работу роботов даже не подозревал

> читать такие письма щастья
> надо обновлять/перезагружать

особенно

> в большой структуре
> за два месяца руки не доходят

ага ага. до критических вещей.

ну и какой же индус без обзывания всех подряд индусами

> а от правильных гуглоиндусов

ну и планы на светлое будущее большой структуры на забываем всем поведать

> надо дальше ляпать


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Гентушник , 11-Янв-18 08:27 
Ирония в том что как раз сегодня у хостинг провайдера "Хостинг-Центр" на всех доменах *.hc.ru протух сертификат выданный thawte на год, а на *.hc.ru как раз висят панели управления cpanel, может быть что-то ещё.

Они видимо тоже меняют сертификаты руками :)


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 12:50 
Бесплатные CA, платные CA... "оба хуже" (ц)

Даёшь cert-pinning в каждый браузер! DKIM себе живёт припеваючи без всяких CA.


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено XoRe , 10-Янв-18 22:29 
> Бесплатные CA, платные CA... "оба хуже" (ц)
> Даёшь cert-pinning в каждый браузер! DKIM себе живёт припеваючи без всяких CA.

Просто пока нельзя автоматом заработать много денежков за одно поддельное письмецо.


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 19:50 
> чтобы только продолжать з/п <оверквотинг удален> получать

Вот же ж сволочи!


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 10:06 
хорошо что исследуют и закрывают. Это правильно.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 10:20 
Хост в SNI передаётся в открытом виде без шифрования. Я правильно понимаю, что  способ атаки в подмене данных SNI в результате MiTM?

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 13:34 
Вряд ли. ACME уязвим к MITM by design, это с самого начала было понятно и никого не смущало. К тому же на стороне сервера от MITM не могло остаться никаких следов, а тут утверждают, что следы действий исследователя (чем-то, очевидно, отличающиеся от обычного получения сертификата) осели в логах.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Crazy Alex , 10-Янв-18 16:08 
Ну так MITM надо через CT отслеживать, по идее

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 11:05 
>не найдено признаков эксплуатации проблемы

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 11:19 
Теперь ждем, когда поддержку Let's Encrypt удалят из браузеров. Давно пора.
Бесплатные сертификаты, выдаваемые кому попало по умолчанию не могут быть безопасными.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 11:32 
А платные сертификаты, выдаваемые кому попало по умолчанию сильно ли лучше?

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 12:04 
Конечно нет, так-что ждём когда браузеры перестанут поддерживать любые сертификаты кроме самоподписанных.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 14:11 
Ждём когда браузеры перестанут поддерживать любые сертификаты, кроме государственных.


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 16:47 
Это троллинг или глупый анон в упор не видит угрозу?

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 17:26 
> Это троллинг или глупый анон в упор не видит угрозу?

глупый анон забыл придумать способ проверки самоподписанного серта в мире огороженного преступниками интернета


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Andrey Mitrofanov , 10-Янв-18 11:38 
> Теперь ждем, когда поддержку Let's Encrypt удалят из браузеров. Давно пора.
> Бесплатные сертификаты, выдаваемые кому попало по умолчанию не могут быть безопасными.

Да, не-е-е... Только лишь следующие три месяца, товарищ прапорщик. Курите!


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено . , 10-Янв-18 12:19 
ну вы ж понимаете, что поддержку startssl удалили не за то что они (якобы, теоретически, и только на такие домены, которым все равно доверять нельзя) кому-то там могли выдать неправильный сертификат.

А LE - это кого надо нога.

> Бесплатные сертификаты, выдаваемые кому попало по умолчанию не могут быть безопасными.

могут, но задача LE была не сделать безопасным, а ровно наоборот - сделать подконтрольным кому надо.


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено А , 10-Янв-18 12:30 
Ну да, только Startssl так на все правила клали, что их, конечно, нужно было простить и понять - бунтари, рокнрольщики, конечно!

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено key , 10-Янв-18 15:32 
Как будто есть разница по сравнению с платными.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Дуплик , 10-Янв-18 11:55 
HTTPS Everywhere бгггг.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Michael Shigorin , 10-Янв-18 12:22 
> HTTPS Everywhere бгггг.

s/he/ho/


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 12:26 
Let's Encrypt лучший! Молодцы, использую везде.

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Шкурка_от_головки , 11-Янв-18 14:14 
Нищщеброт, он такой

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено xm , 10-Янв-18 12:59 
Подробнее
https://community.letsencrypt.org/t/2018-01-09-issue-with-tl...

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 13:42 
> Our tentative plan, once the list is completed, is to re-enable the TLS-SNI-01 challenge type with vulnerable providers blocked from using it.

Они и правда такие наивные? Это ж, небось, большинство шаредов, которых миллионы.


"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено xm , 10-Янв-18 14:38 
Угу. Типа "плохих мы не пустим".

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено Аноним , 10-Янв-18 15:29 
Шареды на Plesk'е (которых вроде как раз большинство по миру) не подвержены этому - там другой метод проверки используется

"Инцидент с уязвимостью в сервисе Let's Encrypt"
Отправлено angra , 10-Янв-18 18:12 
Я как то не наблюдал на шаредах возможности загрузить свой сертификат.