RSA-Chain: SHA1-Problem
Die von Sectigo/SCM bereitgestellten RSA-CA-Chains enthalten per Default ein Root-CA-Zertifikat mit SHA1-Signatur. Dies kann bei Nutzung in einigen Anwendungen Probleme machen.
Einleitung
Nach Beantragung eines Zertifikats bei Sectigo/SCM erhalten Sie eine Mail, in denen das ausgestellte Zertifikat in unterschiedlichen Varianten (mit oder ohne CA-Chain, Chain allein) enthalten ist.
Für RSA-Zertifikate enthält die aktuell (08/2023) von Sectigo bereitgestellte Chain ein Zertifikat mit SHA1-Signatur. Das SHA1-Verfahren gilt als veraltet. Einige Anwendungen verweigern daher die Nutzung solcher Zertifikate.
Auch wenn Ihr Dienst aktuell SHA1-signierte Zertifikate akzeptiert, sollten Sie die am Ende dieser Seite beschriebene Lösung in Erwägung ziehen, um
- für die evtl. strengeren Anforderungen künftiger Versionen Ihres Dienstes vorbereitet zu sein, und
- um zukunftsfest zu werden für den Fall, dass evtl. auch Clients (Browser, ...) die Verbindung zu Servern ablehnen könnten, die noch SHA1-signierte Zertifikate ausliefern.
Diese Problematik betrifft nur RSA-Zertifikate von Sectigo/SCM.
EC-Zertifikate von SCM enthalten keine SHA1-signierten Zertifikate in der Chain und sind daher nicht betroffen.
Problem
Für ein RSA-Zertifikat sieht die über den SCM-Link bereitgestellte Chain bspw. wie folgt aus:
Server-Zertifikat
Subject: C=DE, ST=Hessen, O=Justus-Liebig-Universität Gießen, CN=server.sonst.uni-giessen.de
Issuer: C=NL, O=GEANT Vereniging, CN=GEANT OV RSA CA 4
Subject-Hash: 30ec63c0
Issuer-Hash: 08ab1bf8
Signature Algorithm: sha384WithRSAEncryption
Intermediate-Zertifikat 1
subject: C=NL, O=GEANT Vereniging, CN=GEANT OV RSA CA 4
issuer: C=US, ST=New Jersey, L=Jersey City, O=The USERTRUST Network, CN=USERTrust RSA Certification Authority
Subject-Hash: 08ab1bf8
Issuer-Hash: fc5a8f99
Signature Algorithm: sha384WithRSAEncryption
Intermediate-Zertifikat 2
subject: C=US, ST=New Jersey, L=Jersey City, O=The USERTRUST Network, CN=USERTrust RSA Certification Authority
issuer: C=GB, ST=Greater Manchester, L=Salford, O=Comodo CA Limited, CN=AAA Certificate Services
Subject-Hash: fc5a8f99
Issuer-Hash: ee64a828
Signature Algorithm: sha384WithRSAEncryption
Root-CA-Zertifikat
subject: C=GB, ST=Greater Manchester, L=Salford, O=Comodo CA Limited, CN=AAA Certificate Services
issuer: C=GB, ST=Greater Manchester, L=Salford, O=Comodo CA Limited, CN=AAA Certificate Services
Subject-Hash: ee64a828
Issuer-Hash: ee64a828
Signature Algorithm: sha1WithRSAEncryption
Lösung
Für das Intermediate-Zertifikat 2 "CN=USERTrust RSA Certification Authority" steht ein alternatives Zertifikat zur Verfügung.
Dieses neue Usertrust-Zertifikat bildet das Root-CA-Zertifikat der nun kürzeren Kette, da das problematische AAA-Zertifikat entfällt.
Neues Usertrust-Zertifikat
Ausgabe von "openssl x509 -text" für neues Usertrust-Root-Zertifikat als Root, selbstsigniert, SHA384-Signatur:
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
01:fd:6d:30:fc:a3:ca:51:a8:1b:bc:64:0e:35:03:2d
Signature Algorithm: sha384WithRSAEncryption
Issuer: C = US, ST = New Jersey, L = Jersey City, O = The USERTRUST Network, CN = USERTrust RSA Certification Authority
Validity
Not Before: Feb 1 00:00:00 2010 GMT
Not After : Jan 18 23:59:59 2038 GMT
Subject: C = US, ST = New Jersey, L = Jersey City, O = The USERTRUST Network, CN = USERTrust RSA Certification Authority
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public-Key: (4096 bit)
Modulus:
00:80:12:65:17:36:0e:c3:db:08:b3:d0:ac:57:0d:
76:ed:cd:27:d3:4c:ad:50:83:61:e2:aa:20:4d:09:
2d:64:09:dc:ce:89:9f:cc:3d:a9:ec:f6:cf:c1:dc:
...
e9:62:ba:d6:5f:55:2e:ea:5c:c6:28:08:04:25:39:
b8:0e:2b:a9:f2:4c:97:1c:07:3f:0d:52:f5:ed:ef:
2f:82:0f
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Subject Key Identifier:
53:79:BF:5A:AA:2B:4A:CF:54:80:E1:D8:9B:C0:9D:F2:B2:03:66:CB
X509v3 Key Usage: critical
Certificate Sign, CRL Sign
X509v3 Basic Constraints: critical
CA:TRUE
Signature Algorithm: sha384WithRSAEncryption
5c:d4:7c:0d:cf:f7:01:7d:41:99:65:0c:73:c5:52:9f:cb:f8:
...
16:f1:62:f9:ca:90:a8:fd
Altes Usertrust-Zertifikat
Zum Vergleich Ausgabe von "openssl x509 -text" für altes Usertrust-Intermediate-Zertifikat, ausgestellt von AAA-Root-CA, letzteres mit SHA1-Signatur:
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
39:72:44:3a:f9:22:b7:51:d7:d3:6c:10:dd:31:35:95
Signature Algorithm: sha384WithRSAEncryption
Issuer: C = GB, ST = Greater Manchester, L = Salford, O = Comodo CA Limited, CN = AAA Certificate Services
Validity
Not Before: Mar 12 00:00:00 2019 GMT
Not After : Dec 31 23:59:59 2028 GMT
Subject: C = US, ST = New Jersey, L = Jersey City, O = The USERTRUST Network, CN = USERTrust RSA Certification Authority
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public-Key: (4096 bit)
Modulus:
00:80:12:65:17:36:0e:c3:db:08:b3:d0:ac:57:0d:
76:ed:cd:27:d3:4c:ad:50:83:61:e2:aa:20:4d:09:
2d:64:09:dc:ce:89:9f:cc:3d:a9:ec:f6:cf:c1:dc:
...
e9:62:ba:d6:5f:55:2e:ea:5c:c6:28:08:04:25:39:
b8:0e:2b:a9:f2:4c:97:1c:07:3f:0d:52:f5:ed:ef:
2f:82:0f
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Authority Key Identifier:
keyid:A0:11:0A:23:3E:96:F1:07:EC:E2:AF:29:EF:82:A5:7F:D0:30:A4:B4
X509v3 Subject Key Identifier:
53:79:BF:5A:AA:2B:4A:CF:54:80:E1:D8:9B:C0:9D:F2:B2:03:66:CB
X509v3 Key Usage: critical
Digital Signature, Certificate Sign, CRL Sign
X509v3 Basic Constraints: critical
CA:TRUE
X509v3 Certificate Policies:
Policy: X509v3 Any Policy
X509v3 CRL Distribution Points:
Full Name:
URI:http://crl.comodoca.com/AAACertificateServices.crl
Authority Information Access:
OCSP - URI:http://ocsp.comodoca.com
Signature Algorithm: sha384WithRSAEncryption
18:87:51:dc:74:21:3d:9c:8a:e0:27:b7:33:d0:2e:cc:ec:f0:
...
a1:a3:5f:95
Vergleich beider Zertifikate ergibt:
Identisch sind
- Subject,
- Subject-Hash,
- Public Key Info (beide Zertifikate verwenden denselben privaten Schlüssel und sind daher austauschbar).
Unterschiedlich sind
- Issuer,
- Issuer-Hash,
- Seriennummer,
- Beginn und Ende der Gültigkeit.
Hinweise zur Umstellung
Um für Ihren Server das SHA1-Zertifikat zu ersetzen, müssen Sie
- das AAA-Root-CA-Zertifkat mit der SHA1-Signator entfernen,
- das durch AAA ausgestellte Usertrust-Zertifikat entfernen und durch das selbst-signierte Usertrust-Zertifikat ersetzen.
In einer Appliance
Sofern Sie dies in einer Appliance tun, beachten Sie bitte folgende Hinweise:
- Prüfen Sie vor dem Löschen von Zertifikaten, welche Auswirkungen dies haben könnte, auch auf andere in Ihrer Appliance genutzten Dienste, die evtl. andere Zertifikate nutzen!
- Wenn Sie eine Datei hochladen, die komplett Ihr Server-Zertifikat und die vollständige neue Chain (Download siehe weiter unten) enthält, nimmt Ihre Appliance diese eventuell trotzdem auseinander, legt die enthaltenen Zertifikate intern separat ab und setzt dann für Ihren Dienst eine Chain nach eigenem Gusto wieder zusammen. Solange das alte, von AAA ausgestellte CA-Zertifikat noch vorhanden ist, wird Ihnen dieses dann möglicherweise wieder untergeschoben.
- Stellen Sie also sicher, dass die alten Zertikate gelöscht sind.
- Beachten Sie, welches Zertifikat Sie löschen: Für altes und neues Zertifikat sind Subject und Subject-Hash identisch.
Ablage als PEM-Datei
Je nachdem, in welcher Zusammensetzung Ihr Dienst Zertifikat und Chain erwartet, müssen Sie die Datei selbst zusammenstellen.
Für bspw. Apache, in dem die per Direktive SSLCertificateFile angegebene Datei zunächst das Server-Zertifikat und anschließend die aufsteigende Chain enthalten sollte, hängen Sie Ihrem Server-Zertifikat die neue Chain an.
Neue Chain
Bitte verwenden Sie die nachfolgende Chain nicht ungeprüft. Sofern Sectigo den Issuer für RSA-Zertifikate wechselt, würde nachfolgend genannte Chain nicht mehr passen und Ihr SSL/TLS-Dienst nicht mehr starten! Bitte informieren Sie uns in dieserm Fall per Mail an unigi-ca
Das neue selbst-signierte Usertrust-Zertifikat finden Sie unter Linux/Ubuntu als /etc/ssl/certs/USERTrust_RSA_Certification_Authority.pem
Die neue Chain ist (Download):
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----