Vous vous méfiez d'une autorité de certification intermédiaire sous Linux?

De ce blog .

Les autorités de certification intermédiaires sont des certificats signés par une autorité de certification racine qui peut signer des certificats arbitraires pour n'importe quel site Web.

Ils sont tout aussi puissants que les autorités de certification racine, mais il n'y a pas de liste complète de celles auxquelles votre système fait confiance, car les autorités de certification racines peuvent en créer de nouvelles à volonté, et votre système leur fera confiance à première vue. Il y a des MILLIERS connectés en CT.

Ce mois-ci, un intéressant est apparu, généré apparemment en septembre 2015: «Blue Coat Public Services Intermediate CA», signé par Symantec. (Aucun certificat signé par cette autorité de certification n'a atteint les journaux CT ou Censys jusqu'à présent.)

J'ai pensé que ce serait une bonne occasion d'écrire comment démentir explicitement une autorité de certification intermédiaire qui serait autrement approuvée dans OS X. Cela n'empêchera pas l'autorité de certification racine de remettre un nouvel intermédiaire à la même organisation, mais mieux que rien.

Lorsque j'ai essayé les étapes du blog dans Ubuntu, je télécharge ce certificat https://crt.sh/?id=19538258 . Lorsque j'ouvre le fichier .crt, il est importé dans le trousseau de clés Gnome, mais je n'ai pas pu trouver de moyen de "ne pas faire confiance" au certificat après l'avoir importé.

Juste pour rendre les choses difficiles, Linux a plus d'une bibliothèque pour travailler avec des certificats.

Si vous utilisez le NSS de Mozilla, vous pouvez vous méfier activement (leur terminologie) d'un certificat en utilisant l' option de certutil-t trustargs :

$ certutil -d <path to directory containing database> -M -t p -n "Blue Coat Public Services Intermediate CA"

Pour Firefox, <path to directory containing database>c'est généralement ~/.mozilla/firefox/<???>.profilelà que se <???>trouvent certains personnages d'aspect aléatoire. (certutil est par exemple dans le paquet libnss3-tools d'ubuntu)

La répartition est la suivante:

-M modifier la base de données

-t p définir la confiance sur Interdit

-n pour effectuer l'opération sur le certificat nommé

Même au sein de NSS, toutes les applications ne partagent pas la même base de données; vous devrez donc peut-être répéter ce processus. Par exemple, pour faire de même pour Chrome, remplacez le -d <path>par -d sql:.pki/nssdb/.

$ certutil -d sql:.pki/nssdb/ -M -t p -n "Blue Coat Public Services Intermediate CA"

Cependant, toutes les applications n'utilisent pas NSS, ce n'est donc pas une solution complète. Par exemple, je ne pense pas qu'il soit possible de le faire avec la bibliothèque OpenSSL.

Par conséquent, toute application qui utilise OpenSSL pour fournir sa construction de chaîne de certificats (TLS, IPSec, etc.) ferait confiance à une chaîne avec un certificat Blue Coat et il n'y a rien que vous puissiez faire à ce sujet à part supprimer l'autorité de certification racine qui l'a signée. votre magasin d'ancrage de confiance (ce qui serait idiot si l'on considère qu'il s'agit d'une autorité de certification racine Symantec car vous vous retrouvez sans méfiance sur la moitié d'Internet), tandis que les applications qui s'appuient sur NSS peuvent être configurées de manière plus granulaire pour se méfier de toute chaîne contenant le certificat Blue Coat. .

Par exemple, je crois qu'OpenVPN utilise OpenSSL comme bibliothèque de certificats, donc grand frère pourrait écouter votre trafic OpenVPN à votre insu si vous vous connectez à un fournisseur VPN commercial qui utilise OpenVPN. Si vous êtes vraiment préoccupé par cela, vérifiez qui est l'AC racine de votre fournisseur VPN commercial - si c'est Symantec / Verisign alors peut-être qu'il est temps de les abandonner pour quelqu'un d'autre?

Notez que SSH n'utilise pas de certificats X509, vous pouvez donc vous connecter et tunneler à l'aide de SSH sans vous soucier des attaques Blue Coat MITM.

Je ne peux pas encore commenter, donc je vais devoir commenter ici que sur Ubuntu Gnome 15.10, quand j'utilise l'approche de @ garethTheRed, j'obtiens:

~$ certutil -d ~/.mozilla/firefox/<directory>.default -M -t p -n "Blue Coat Public Services Intermediate CA" 
certutil: could not find certificate named "Blue Coat Public Services Intermediate CA": SEC_ERROR_BAD_DATABASE: security library: bad database.

~$ certutil -d sql:.pki/nssdb/ -M -t p -n "Blue Coat Public Services Intermediate CA"
certutil: could not find certificate named "Blue Coat Public Services Intermediate CA": SEC_ERROR_UNRECOGNIZED_OID: Unrecognized Object Identifier.

"Blue Coat Systems, Inc." ne fonctionne pas non plus.

(Il s'agit du certificat que j'ai importé: https://crt.sh/?id=19538258 )