Eine Zwischenzertifizierungsstelle unter Linux nicht vertrauen?

Aus diesem Blog .

Zwischenzertifizierungsstellen sind von einer Stammzertifizierungsstelle signierte Zertifikate, die beliebige Zertifikate für Websites signieren können.

Sie sind genauso leistungsfähig wie Stammzertifizierungsstellen, es gibt jedoch keine vollständige Liste der Zertifizierungsstellen, denen Ihr System vertraut, da Stammzertifizierungsstellen nach Belieben neue Zertifizierungsstellen erstellen können und Ihr System ihnen auf den ersten Blick vertraut. Es sind TAUSENDE in CT eingeloggt.

In diesem Monat tauchte ein interessantes auf, das anscheinend im September 2015 generiert wurde: "Blue Coat Public Services Intermediate CA", unterzeichnet von Symantec. (Bisher haben keine von dieser Zertifizierungsstelle signierten Zertifikate die CT-Protokolle oder Censys erreicht.)

Ich dachte, es wäre eine gute Gelegenheit, um zu beschreiben, wie man einer Zwischenzertifizierungsstelle, die sonst in OS X als vertrauenswürdig eingestuft wird, explizit das Vertrauen verweigert. Dies hindert die Stammzertifizierungsstelle nicht daran, eine neue Zwischenzertifizierungsstelle an dieselbe Organisation weiterzugeben, aber besser als nichts.

Als ich die Schritte im Blog in Ubuntu ausprobierte, lade ich dieses Zertifikat https://crt.sh/?id=19538258 herunter . Wenn ich die .crt-Datei öffne, wird sie in den Gnome-Schlüsselring importiert, aber dann konnte ich keine Möglichkeit finden, das Zertifikat nach dem Import zu "demotivieren".

Nur um die Sache zu erschweren, hat Linux mehr als eine Bibliothek für die Arbeit mit Zertifikaten.

Wenn Sie Mozillas NSS verwenden, können Sie einem Zertifikat mit der Option certutil (deren Terminologie) aktiv misstrauen-t trustargs :

$ certutil -d <path to directory containing database> -M -t p -n "Blue Coat Public Services Intermediate CA"

Für Firefox, <path to directory containing database>ist in der Regel , ~/.mozilla/firefox/<???>.profilewo <???>einige zufällige aussehende Zeichen sind. (certutil ist zB in Ubuntus libnss3-tools-Paket enthalten)

Die Aufteilung ist wie folgt:

-M um die Datenbank zu ändern

-t p um die Vertrauenswürdigkeit auf Verboten zu setzen

-n die Operation mit dem genannten Zertifikat durchzuführen

Selbst innerhalb von NSS nutzen nicht alle Anwendungen dieselbe Datenbank. Möglicherweise müssen Sie diesen Vorgang wiederholen. Um beispielsweise dasselbe für Chrome zu tun, ändern Sie den Namen -d <path>in -d sql:.pki/nssdb/.

$ certutil -d sql:.pki/nssdb/ -M -t p -n "Blue Coat Public Services Intermediate CA"

Da jedoch nicht alle Anwendungen NSS verwenden, ist dies keine vollständige Lösung. Ich glaube beispielsweise nicht, dass dies mit der OpenSSL-Bibliothek möglich ist.

Infolgedessen vertraut jede Anwendung, die OpenSSL zum Erstellen ihrer Zertifikatkette verwendet (TLS, IPSec usw.), einer Kette mit einem Blue Coat-Zertifikat, und Sie können nichts tun, außer die Stammzertifizierungsstelle zu entfernen, von der sie signiert wurde Ihr Vertrauensanker-Speicher (was dumm wäre, wenn es sich um eine Symantec-Stammzertifizierungsstelle handelt, da Sie am Ende die Hälfte des Internets misstrauen würden), wohingegen Anwendungen, die auf NSS basieren, genauer konfiguriert werden können, um jeder Kette zu misstrauen, die das Blue Coat-Zertifikat enthält .

Ich glaube beispielsweise, dass OpenVPN OpenSSL als Bibliothek für Zertifikate verwendet. Daher könnte der große Bruder Ihren OpenVPN-Verkehr ohne Ihr Wissen abhören, wenn Sie eine Verbindung zu einem kommerziellen VPN-Anbieter herstellen, der OpenVPN verwendet. Wenn Sie sich darüber wirklich Sorgen machen, überprüfen Sie, wer die Stammzertifizierungsstelle Ihres kommerziellen VPN-Anbieters ist. Wenn es sich um Symantec / Verisign handelt, ist es möglicherweise an der Zeit, sie für eine andere Person in den Sand zu legen.

Beachten Sie, dass SSH keine X509-Zertifikate verwendet. Sie können sich daher mit SSH verbinden und tunneln, ohne sich über Blue Coat MITM-Angriffe Gedanken machen zu müssen.

Ich kann noch keinen Kommentar abgeben, daher muss ich hier sagen, dass ich auf Ubuntu Gnome 15.10, wenn ich den Ansatz von @ garethTheRed verwende, Folgendes erhalte:

~$ certutil -d ~/.mozilla/firefox/<directory>.default -M -t p -n "Blue Coat Public Services Intermediate CA" 
certutil: could not find certificate named "Blue Coat Public Services Intermediate CA": SEC_ERROR_BAD_DATABASE: security library: bad database.

~$ certutil -d sql:.pki/nssdb/ -M -t p -n "Blue Coat Public Services Intermediate CA"
certutil: could not find certificate named "Blue Coat Public Services Intermediate CA": SEC_ERROR_UNRECOGNIZED_OID: Unrecognized Object Identifier.

Blue Coat Systems, Inc. geht auch nicht

(Dies ist das Zertifikat, das ich importiert habe: https://crt.sh/?id=19538258 )