На всех устройствах без подключения к интернету отображается Windows 7 с dst root ca x3. как решить проблему

30 сентября 2021 14:01:15 GMT оканчивается срок действия корневого сертификата IdenTrust DST Root CA X3.

Это событие достойно вашего внимания по той причине, что после наступления этого момента ряд устаревших систем перестанут доверять сертификатам, выпущенным центром сертификации Let’s Encrypt. С учётом того, что на текущий момент Let’s Encrypt предоставляет бесплатные криптографические сертификаты примерно для 250 миллионов доменных имен, а «устаревшие системы» — это порой системы возрастом всего 5-6 лет, вряд ли окончание срока действия сертификата DST Root CA X3 пройдёт для всех гладко и незаметно. В чём причина, кого конкретно это затронет, и что можно сделать?

Ниже представлена инструкция для Windows 7, Ubuntu и Centos 7, которая позволит исправить ошибку letsencrypt.

Если у вас возникает ошибка доступа к сайтам, в связи с истечением сертифика IdenTrust DST Root CA X3 на старых системах.

Если вы получаете ошибки git:

Помогаю со студенческими работами здесь

Не загружается моноблок HP — ошибка DSTДоброго времени суток!
Перестал загружаться моноблок от HP. No boot disk has been detected or the.

Ошибка жесткого диска короткого DSTДоброго времени суток! У меня такая проблема случилась. При включении ноутбука и появлении рабочего.

Игнорирование перехода времени на летнее (DST)Собственно это возможно сделать без составления громадного массива?

Добавлено через 1 час 11.

О memcopy, а именно об ее первом параметре void *dstДоброго времени суток. Не подскажете, как можно модернезировать код, что бы обойтись без лишнего.

Где хранятся правила перехода STANDARD/DST time?Вроде бы начиная с 1970 года эти locale-dependent правила хранятся имеено в файле локали, но в.

Искать еще темы с ответами

Или воспользуйтесь поиском по форуму:

Загрузите необходимый вам сертификат

Нажмите на файл сертификата правой кнопкой мыши, и выберите пункт «Открыть»

В появившемся окне, проверьте информацию о сертификате и нажмите кнопку «Установить сертификат»

(Для Windows 8 и выше) В мастере импорта сертификатов выберите «Локальный компьютер» и нажмите «Далее»

(Для Windows 7 и предыдущих версий) В мастере импорта сертификатов нажмите «Далее»

Выберите пункт «Поместить все сертификаты в следующее хранилище» и нажмите кнопку «Обзор»

Выберите раздел «Доверенные корневые центры сертификации»

В мастере импорта сертификатов нажмите кнопку «Далее»

В мастере импорта сертификатов нажмите кнопку «Готово»

Окне предупреждения подтвердите установку сертификата, для этого нажмите кнопку «Да»

В случае успешного импорта сертификата появиться окно подтверждения

Создано / Изменено: 7 октября 2015 / 8 октября 2015

30 сентября 2021 14:01:15 GMT (17:01 MSK) оканчивается срок действия корневого сертификата IdenTrust DST Root CA X3.

Сертификаты Let’s Encrypt перестанут восприниматься в уже не поддерживаемых прошивках и операционных системах, а так же клиентах, в которых для обеспечения доверия к сертификатам Let’s Encrypt потребуется ручное добавление сертификата ISRG Root X1 в хранилище корневых сертификатов. Проблемы будут проявляться в:
OpenSSL до ветки 1. 2 включительно (сопровождение ветки 1. 2 было прекращено в декабре 2019 года);
NSS < 3. 26 (curl);
Java 8 < 8u141, Java 7 < 7u151;
Windows < XP SP3;
macOS < 10. 1;
iOS < 10 (iPhone < 5);
Android < 2. 6;
Mozilla Firefox < 50;
Ubuntu < 16. 04;
Debian < 8.

Вас может заинтересовать

Пропишите новые сертификаты в конфигурационном файле:

После выполнения команды должно вывести информацию об успешной установки трех новых сертификатов:

Updating certificates in /etc/ssl/certs. 3 added, 0 removed; done. Running hooks in /etc/ca-certificates/update. done.

Сборка всех сертификатов находится в файле /etc/ssl/certs/ca-certificates. crt

ОС Centos 7

Установите программу для работы с сертификатами:

yum install ca-certificates
update-ca-trust force-enable

Сборка всех сертификатов находится в файле /etc/ssl/certs/ca-bundle. crt

Windows 7

Контрольные суммы сертификата:

Перейдите на вкладку chrome://settings/

Откройте пункт Конфиденциальность и Безопасность и выберите раздел безопасность

Откройте пункт Настроить сертификаты

Выберите пункт Доверенные корневые центры сертификации

Нажмите на кнопку Импорт

Нажмите обзор и выберите загруженный файл.

В выпадающем списке нужно выбрать все файлы

Убедитесь что установка идет в Доверенные корневые центры сертификации.

В окне предупреждения безопасности нужно ответить да

Импорт успешно завершен

Перезагрузите компьютер.

IOS (iPhone и iPad с ОС до 10 версии)

Устройства с версиями ОС Android до 7. 1 также не поддерживают корневой сертификат ISRG Root X1. Однако, Let’s Encrypt удалось договориться с IdenTrust о выпуске на 3 года кросс-подписи истекшего DST Root CA X3. Таким образом, устройства даже с устаревшими версиями Android не будут сообщать об ошибке как минимум до 2024 года. Действий с ними не требуется.

При перепубликации статьи установка активной индексируемой
гиперссылки на источник — сайт обязательна!

Установите обновления для вашей системы

Если вы пользуетесь ОС Виндовс 7, и проблема «Ваши часы отстают» на вашем Яндекс. Браузер наблюдается лишь в последнее время, рекомендуем установить на ваш ПК обновление KB3004394 для вашей операционной системы. Имеется отдельное обновление для 64 и 32-битной ОС Виндовс, установите соответствующее обновление для своей версии ОС:

• Версия для 64-битной Виндовс 7;
• Версия для 32-битной Виндовс 7.

Если вы не знаете, какой версии ваша ОС, нажмите на сочетание кнопок Win+Pause, и изучите представленную информацию.

Установка игнорирования ошибки сертификатов может устранить проблемы с часами

Также временным решением проблемы с отставанием часов на Яндекс. Браузер может стать следующее:

• Наведите курсор на ваш Яндекс. Браузер на рабочем столе;
• Щёлкните правой клавишей мышки, в открывшемся выберите «Свойства»;
• В строке «Объект» после browser.exe поставьте пробел, а после него строку -ignore-certificate-errors
• Сохраните изменения, нажав на «Применить» и «Ок»;
• Запустите ваш браузер и перейдите на нужный сайт. Ошибка может исчезнуть.

Установите правильное системное время для исправления ошибки с отставанием часов в Я.

Также рекомендуем убедиться, что системное время на вашем ПК отображается корректно. Для этого выполните следующее:

• Наведите курсор на дату и время на панели задач и щёлкните левой клавишей мышки;
• В открывшемся меню выберите «Параметры даты и времени»;
• Если у Вас Виндовс 10, установите для параметра «Установить время автоматически», а также для расположенного рядом параметра «Автоматически устанавливать часовой пояс» значение «Вкл».

Если у вас автоматическая установка времени имеется по умолчанию, попробуйте отключить её, и установить правильное время и дату вручную. После этого проверьте ранее дисфункциональный сайт. Если он так же не доступен, верните автоматическую установку времени и следуйте дальнейшим советам.

Очистите браузерные куки и кэш в Яндекс. Браузер

Временные файлы (файлы куков и кэшированные изображения), в которых хранятся устаревшие или неверные данные даты и времени, иногда являются причиной ошибки «Ваши часы отстают» в Яндекс Браузере. Из этих файлов ваш браузер может получать некорректную информацию о времени и дате, потому их необходимо удалить. Это вынудит ваш браузер повторно получить уже верную информацию о дате и времени с вашего ПК.

Для удаления кэша и куков с Яндекс Браузера выполните следующее:

• Запустите ваш Яндекс.Браузер;
• Нажмите на кнопку с тремя горизонтальными линиями справа сверху;
• Кликните на раздел «Настройки»;
• На панели слева выберите раздел «Системные»;
• Кликните на «Очистить историю»;

После этого закройте ваш Яндекс. Браузер и перезагрузите компьютер.

Это может помочь: Как исправить «HTML5 Video not properly encoded» в Яндекс. Браузер.

Замените батарею CMOS

Если ваш веб-навигатор продолжает фиксировать ошибку времени, то пришло время заменить батарею CMOS на вашем ПК.

Батарея CMOS — это небольшая батарея, которая находится на материнской плате вашего ПК и отвечает за сохранение времени, даты и других данных о конфигураций системы. Вы когда-нибудь задумывались, почему дата и время вашего компьютера остаются точными, даже когда вы отключаете его или извлекаете из него аккумулятор? Да, за это отвечает батарея CMOS. Если данная батарея неисправна, то ваш ПК и ряд программ будут встречаться с той или иной ошибкой, включая и сообщение «Ваши часы отстают». Для замены батареи CMOS требуются некоторые инструменты и технические знания. Рекомендуется отнести свой компьютер к профессиональному компьютерному технику или в сервисный центр, где вам заменят элемент на новый.

Как решить ошибку – еще способы

Кроме перечисленных нами инструментов также рекомендуем:

• Напишите в поддержку сайта, на котором наблюдается ошибка. Возможно администрации сайта понадобится продлить сертификат вручную;
• Подождите какое-то время. Возможно, появление ошибки «Ваши часы отстают» связано с временным сбоем сервера. Подождите пару часов, а потом попробуйте перейти на интересующий вас веб-сайт вновь.

Попробуйте другой браузер

Также довольно эффективным решением, позволяющим устранить ошибку «Ваши часы отстают», станет использование для работы в сети браузера Мозилла. Последний имеет свою личную систему сертификатов, и может эффективно справляться с ошибкой «Ваши часы отстают». Установите браузер Mozilla Firefox, и проблема будет эффективно решена.

Что делать?

На некоторых устройствах Android могут возникать проблемы, поэтому Let’s Encrypt рекомендует пользователям Android (Lollipop) 5. 0 установить браузер Firefox: «Для встроенного браузера телефона Android список доверенных корневых сертификатов поступает из операционной системы, которая на этих старых телефонах устарела. Однако Firefox в настоящее время является уникальным среди браузеров — он поставляется со своим собственным списком доверенных корневых сертификатов».

Удалить настройки HSTS для Яндекс браузера, Edge, Opera, Амиго

Большинство браузеров построены на движке Chromium, среди них можно выделить:

• Microsoft Edge
• Яндекс браузер
• Opera
• Амиго

Так как у них движок такой же. как и у Google Chrome, то к ним будет применен и актуален такой же метод, что мы делали выше, а именно через удаление домена на специальной странице:

Как очистить или отключить HSTS в Firefox

По сравнению с Chrome, Firefox имеет несколько способов очистки или отключения настроек. Для начала автоматический метод.

Автоматический метод отключения HSTS в Mozilla

• Откройте Firefox и убедитесь, что все открытые вкладки или всплывающие окна закрыты.
• Нажмите Ctrl + Shift + H (или Cmd + Shift + H на Mac), чтобы открыть меню библиотеки .
• Найдите сайт, для которого вы хотите удалить настройки HSTS. Вы можете упростить для себя, используя панель поиска в верхнем правом углу.
• Как только вам удастся найти веб-сайт, для которого вы пытаетесь очистить настройки HSTS, щелкните по нему правой кнопкой мыши и выберите  Забыть об этом сайте . Это очистит настройки HSTS и другие кэшированные данные для этого конкретного домена.

Ручной метод для Firefox

Данный метод можно еще назвать методом очистки HSTS путем очистки настроек сайта.

• Откройте Firefox, нажмите на значок «Библиотека» и выберите «Журнал»
• Далее выберите пункт «Удалить историю»
• В окне «Удаление всей истории» установите в раскрывающемся меню «Диапазон времени» значение «Все». Затем разверните меню «Данные» и снимите все флажки, кроме «Настройки сайта»  и нажмите «Удалить сейчас», чтобы очистить все настройки сайта, включая настройки HSTS . Далее перезагрузите Firefox и посмотрите, была ли проблема решена при следующем запуске.

Второй вариант, в Windows установить корневой сертификат ISRG Root X1 можно запустив оснастку «Сертификаты» командой:

и импортировав в корневые сертификаты учётной записи компьютера файл сертификата.

Для решения проблемы Let’s Encrypt уже более 5 лет использует подпись корневым сертификатом ISRG Root X1, действующим до 2035 года. Однако, устройства и операционные системы, не получающие обновления цепочки сертификатов, могут не иметь его в списке доверенных и столкнутся с ошибками SSL соединения. Список такого ПО и операционных систем:

• Mozilla Firefox до 50.0;
• MacOS 10.12.0 и старше;
• Windows XP (с Service Pack 3);
• OpenSSL 1.0.2 и ниже;
• Ubuntu до версий 16.04;
• Debian 8 и старше.

Для восстановления возможности работы устаревшего устройства или программного обеспечения следует обновить операционную систему или добавить SSL-сертификат ISRG Root X1 в список доверенных.

Срок действия корневого сертификата Let’s Encrypt истек. Миллионы устройств останутся без интернета

Что делать, если сайт не открывается на старом компьютере или телефоне?

Решить проблему можно или установкой свежего программного обеспечения (ПО), или покупкой современного устройства. Установить свежее ПО на старую технику не всегда возможно, но зато современные устройства под управлением актуальных операционных систем Windows, iOS, Linux, Android не подвержены описываемой проблеме, так как централизованно обновляются и всегда работают с актуальным списком сертификатов безопасности. Так что обновление техники и программного обеспечения — это наилучший способ даже не знать о существовании такой беды, как невозможность открыть некоторый сайт в браузере из-за проблем с сертификатом безопасности. К тому же, обновление всегда дает значительные преимущества в плане скорости и комфорта работы. Но, к сожалению, обновление техники по совершенно разным причинам доступно  далеко не каждому.

Конечно, надо понимать, что переход на новую технику и на новые версии ПО — это неизбежность. Ничто не стоит на месте, все в мире развивается, и рано или поздно мы будем использовать все более новые поколения устройств и новые версии программного обеспечения. При этом старое ПО и старая аппаратура с определенного момента перестают быть интересными производителям, и их поддержка прекращается. Как только это случается, все сторонние производители техники и разработчики программ также перестают задумываться о совместимости своих продуктов со старыми моделями и версиями. Более того, многие из них намеренно отключают возможность использования устаревшей техники со своими новыми продуктами, как в целях улучшения безопасности пользователей, так и в своих сугубо коммерческих целях.

К примеру, компания Microsoft прекратила поддержку Windows XP еще в 2005 году (в 2009 году для 64-битной версии, в 2014 — расширенную поддержку, в 2019 — поддержку версии для банкоматов). Поддержка все еще популярной Windows 7 прекращена в 2015 году, расширенная поддержка — в 2020 году.

Это значит, что все эти версии операционной системы уже давно не получают обновления сертификатов. Как следствие всего перечисленного, разработчики ПО отказываются от поддержки старых платформ в целях обеспечения должного уровня защищенности пользователя. Например, практически все банки уже давно не позволяют своим клиентам получать доступ к собственным денежным средствам с устаревших устройств. При этом Windows 7, и даже Windows XP все еще довольно широко распространены на компьютерах как в частном, так и в корпоративном секторе.

Не совсем по теме

К слову сказать, в качестве небольшого отступления, на тех предприятиях, где я занимаюсь обслуживанием компьютерной техники, на данный момент использование компьютеров более чем 10-летней давности доходит местами до 50%, из них почти половина работает под управлением Windows XP. И это если не считать компьютеры в составе технологического оборудования на производстве. В целом, в моей практике, приходится сталкиваться примерно с 20-30% компьютеров под управлением Windows XP, 50-70% — Windows 7 и 20-30% — Windows 10. Иногда встречаются Windows 8 и Windows 8. 1, а вот Mac и Linux — реально единицы.

Как заставить сайты открываться на старых компьютерах и в старых версиях браузеров?

К счастью, есть несколько вариантов, как можно продлить жизнь старым устройствам и заставить их работать в современных реалиях. Сразу скажу, что все эти решения временные и ненадежные. Самым правильным и надежным решением остается обновление техники и используемого ПО.

Как временное решение проблемы с невозможностью открыть сайт из-за проблем с сертификатами можно попробовать обновить списки актуальных и отозванных сертификатов безопасности. На старых устройствах придется делать это вручную. На данный момент существует несколько вариантов обновления сертификатов, все эти варианты мне удалось найти в сети интернет. Конечно, на практике все их опробовать не удалось, но упомянуть даже не опробованные варианты все же стоит.

Ручное обновление корневых сертификатов

SSL error 0x80090325 Цепочка сертификатов выпущена центром сертификации, не имеющим доверия.

Это лишь вариант описания ошибки, текст сообщения о невозможности установки защищенного соединения может быть и другим. Некоторые сервера, например, пишут о возможном несоответствии системного времени на компьютере с реальным временем. Причина заключается в истечении срока действия корневого цифрового сертификата IdenTrust DST Root CA X3, которым подписаны сертификаты от популярного удостоверяющего центра Let’s Encrypt. Им выпущено множество SSL сертификатов (более чем для 250 миллионов доменных имен) для веб-сайтов, почтовых серверов и других служб.

Для решения проблемы Let’s Encrypt уже более 5 лет использует подпись корневым сертификатом ISRG Root X1, действующим до 2035 года. Однако устройства, программы и операционные системы, не получающие автоматические обновления, не могут сами получить этот сертификат. Например, не обновляются версии:

• Android 7.1.1 и старше;
• Mozilla Firefox до 50.0;
• MacOS 10.12.0 и старше;
• Windows XP (включая Service Pack 3);
• OpenSSL 1.0.2 и ниже;
• Ubuntu до версии 16.04;
• Debian 8 и старше.

Установка корневого сертификата в ОС Windows, iOS, Linux, Android

Итак, вариант первый. Сразу скажу, что этот вариант я пробовал только на виртуальной машине с Windows XP, и он сработал только частично. Описание варианта взято здесь.

Более сложный способ установки корневого сертификата для Windows XP описан здесь, хотя и не понятно, зачем такие сложности.

В iOS до 10 версии надо перейти в «Настройки» -> «Основные» -> «Профили и управление устройством», выбрать сертификат ISRG Root X1 и нажать «Установить». Затем в разделе «Настройки» -> «Основные» -> «Доверие сертификатов» включить «Доверять корневым сертификатам полностью».

В Linux необходимо сначала удалить старый корневой сертификат DST Root CA X3 из списка доверенных, для чего надо переместить его в директорию /etc/pki/ca-trust/source/blacklist, а затем установить доверие к корневому сертификату ISRG Root X1, для чего перенести его в директорию /etc/pki/ca-trust/source/anchors directory. После этих манипуляций надо обновить списки сертификатов командой update-ca-trust. Это один из способов. Подробности здесь.

Что касается ОС Android до 7. 1, то Let’s Encrypt удалось договориться с IdenTrust о выпуске на 3 года кросс-подписи истекшего DST Root CA X3. Таким образом, устройства даже с устаревшими версиями Android не будут сообщать об ошибке как минимум до 2024 года. Действий с ними не требуется.

Дополнение: способ обновления сертификатов на телевизорах LG поду управлением WebOS описан в отдельной статье.

Обновление всех сертификатов безопасности на старых версиях Windows

Закончившийся сертификат Let’s Encrypt — далеко не единственный из тех, которые контролируют доступ пользователей к сайтам. Списки актуальных и отозванных сертификатов постоянно изменяются, и современные операционные системы получают эти списки вместе с собственными автоматическими обновлениями. Поэтому лучшим решением (если не считать обновления устройства) будет приведение всего списка сертификатов на устройстве в соответствие с реальным положением вещей.

В случае с Windows это можно сделать несколькими способами. Первый из них заключается в создании списка актуальных сертификатов на любом компьютере, где установлена современная обновляемая система Windows, и последующем импортировании этих сертификатов на компьютер со старой системой.

Сделать это не очень сложно, если почитать описание данного метода на любом подходящем сайте. Например, здесь есть короткое описание, а здесь — более детальное. Это второй вариант устранения ситуации, когда не работает интернет на старом компьютере. Но на самом деле есть еще более удобный и простой способ.

Быстрый и простой способ обновления сертификатов Windows

Третий вариант исправления проблемы с неработающим интернетом самый простой, если воспользоваться готовым инструментом с этого сайта. Данный способ заключается в использовании списков актуальных и отозванных сертификатов с официального сайта Microsoft и последующей установке этих списков в систему при помощи инструментов, также разработанных Microsoft. Правда, эти инструменты уже официально признаны устаревшими и не поддерживаемыми, но по-прежнему успешно справляются с задачей обновления сертификатов.

Описание метода взято с этого ресурса, за что выражаю автору огромную благодарность.

• rvkroots_20211001.exe — самораспаковывающийся архив со списком устаревших небезопасных сертификатов, автоматически удаляет эти сертификаты из списка доверенных при запуске файла;
• rootsupd_20211001.exe — самораспаковывающийся архив со списком актуальных сертификатов, автоматически добавляет эти сертификаты в соответствующие хранилища сертификатов при запуске файла.

Списки сертификатов получены с официального сайта Microsoft 1. 2021 г. (при желании можно распаковать архив без установки и посмотреть содержимое). Для корректного обновления списка сертификатов необходимо запускать файлы от имени пользователя, обладающего правами администратора системы.

Обновление сертификатов проверено на нескольких компьютерах под управлением операционных систем Windos XP SP 3 и Windows 7.

Как еще можно открывать сайты на старых компьютерах и смартфонах?

Для браузеров на основе движка Chromium (а это почти все популярные браузеры, в том числе Opera, Microsoft Edge, Яндекс Браузер и прочие) в сети встречаются рекомендации по сбросу настроек HSTS для отдельных сайтов. Для этого надо в адресной строке браузера набрать команду chrome://net-internals/#hsts и на открывшейся странице настроек ввести адреса нужных сайтов в раздел Delete domain security policies. На практике эту рекомендацию я не проверял.

Поскольку проблема новая и затрагивает очень большое количество устройств, я буду рад, если описываемые здесь методы решения помогут вам в исправлении проблемы, еще более буду рад распространению ссылок на данный материал. И конечно, можно выразить благодарность даже в материальной форме. Спасибо!

Немного теории и истории

Не углубляясь в детали, пару слов для неспециалистов, почему окончание срока действия сертификата DST Root CA X3 повлияет на сертификаты, выпущенные Let’s Encrypt. У каждой системы, проверяющей сертификат на валидность, есть своё хранилище доверенных корневых сертификатов. Система при проверке будет доверять сертификатам, которые подписаны с использованием закрытого ключа одного из этих корневых сертификатов. Сами корневые сертификаты как правило имеют длительные сроки действия, меняются редко и не используются при формировании сертификатов конечного субъекта (в данном случае, сертификатов для доменных имен), вместо этого инфраструктура открытых ключей, предполагает использование цепочек доверия  — корневые сертификаты применяются для подписания промежуточных сертификатов, а уже с использованием них подписываются сертификаты конечного субъекта (сертификаты для доменов). При этом, для того, чтобы система доверяла конечному сертификату, она должна быть способна проследить всю цепочку от этого сертификата до одного из корневых сертификатов, которым она доверяет.

После появления проекта Let’s Encrypt, его корневой сертификат ISRG Root X1 (как и любой новый корневой сертификат) не мог быстро попасть в хранилища доверенных сертификатов заметного количества систем. При этом для успешного функционирования проекта выданным сертификатам с самого начала должно было доверять максимальное количество систем «из коробки» (без дополнительных действий со стороны пользователей этих систем). В связи с этим, для сертификатов Let’s Encrypt стала использоваться цепочка доверия, ведущая к корневому сертификату DST Root CA X3, который признается большинством систем:

• Windows >= XP SP3
• macOS (большинство версий)
• iOS (большинство версий)
• Android >= v2.3.6
• Mozilla Firefox >= v2.0
• Java 8 >= 8u101
• Java 7 >= 7u111
• NSS >= v3.11.9
• Amazon FireOS (Silk Browser)
• Cyanogen > v10
• Jolla Sailfish OS > v1.1.2.16
• Kindle > v3.4.1
• PS4 game console with firmware >= 5.00

К настоящему моменту корневой сертификат ISRG Root X1 существует уже более 5 лет и за это время попал в доверенные в большинстве современных систем, ему доверяют:

• Windows >= XP SP3 (при условии, что производилось автоматическое обновление корневых сертификатов)
• Mozilla Firefox >= 50.0
• Ubuntu >= xenial / 16.04 (с установленными обновлениями)
• Java 8 >= 8u141
• Java 7 >= 7u151

Для сертификатов Let’s Encrypt по умолчанию в данный момент предлагается такая цепочка доверия:

IdenTrust’s DST Root CA X3 -> ISRG Root X1 -> Let’s Encrypt R3 -> Конечный сертификат пользователя

Что произойдет 30 сентября?

Срок действия DST Root CA X3 подходит к концу 30 сентября 2021 14:01:15 GMT, что произойдет после этого?

Те системы, которые не доверяют ISRG Root X1, перестанут доверять сертификатам, выпущенным Let’s encrypt (системы будут выдавать предупреждения при посещении сайтов, использующих сертификаты Let’s Encrypt). За исключением Android >= v2. 6, т. Android не учитывает срок действия своих доверенных корневых сертификатов.

Проблема с доверием возникнет также у систем, использующих OpenSSL версии меньше 1. Даже если у таких систем ISRG Root X1 входит в список доверенных сертификатов, особенность проверки сертификата в OpenSSL 1. x приведёт к тому, что наличие в цепочке истекшего DST Root CA X3, несмотря на наличие доверия к ISRG Root X1, будет приводить к отрицательному результату проверки на доверие. Аналогичная проблема у OpenSSL 1. x возникла 20 мая 2020 года с истекшим сертификатом AddTrust External CA Root.

Что со всем этим делать?

Для того, чтобы проверить, как поведёт себя ваша система при обращении к сайтам, использующим сертификаты Let’s Encrypt, после 30 сентября, можно воспользоваться утилитой faketime. В Debian и Ubuntu она доступна в пакете faketime.

Если всё в порядке, curl вернёт содержимое страницы, если же нет — выдаст сообщение об ошибке:

curl: (60) server certificate verification failed.

В этом случае нужно убедиться, что:

• Ваша система доверяет ISRG Root X1
• Вы не пользуетесь устаревшей версией OpenSSL

Проверка доверия к ISRG Root X1

Например, Ubuntu 16. 04 xenial и Debian 8 jessie доверяют ISRG Root X1, но при этом поставляются с OpenSSL 1. x, поэтому проблема их может коснуться.

Чтобы проверить наличие сертификата ISRG Root X1 в числе доверенных:

В выводе команды в обоих случаях должно присутствовать:

subject= /C=US/O=Internet Security Research Group/CN=ISRG Root X1

Если такой строчки нет, то нужно добавить ISRG Root X1 в доверенные. В Debian/Ubuntu:

добавить в файл /etc/ca-certificates. conf строчку:

и выполнить комнаду

Проверка версии OpenSSL

Если система доверяет ISRG Root X1, нужно проверить версию OpenSSL

В выводе должна быть версия 1. 0 или новее.

Если используется OpenSSL 1. x, то достаточным решением проблемы будет удалить из доверенных сертификат DST Root CA X3 (это решение может не сработать для openssl версий <1. 1p и <1. 2d). Это можно сделать, не дожидаясь 30 сентября.

В файле /etc/ca-certificates. conf нужно найти строчку:

и поставить в начало сроки символ «!»:

Далее, необходимо выполнить команду:

Локальное продление срока действия сертификата DST Root CA X3

Для тех случаев, когда используется совсем старый openssl (версии меньше 1. 1p и 1. 2d, но новее 0. 8m), или по иной причине не срабатывает метод с изъятием из доверенных сертификата DST Root CA X3, можно воспользоваться еще одним методом, предложенным в статье Scott’а Helme. Метод основан на том, что OpenSSL, начиная с версии 0. 8m, не проверяет сигнатуру сертификатов, хранящихся в локальном защищенном хранилище. Таким образом, можно изменить время действия сертификата в защищенном хранилище, при этом модифицированный сертификат будет по-прежнему восприниматься OpenSSL как валидный. Для того, чтобы продлить для OpenSSL на системе срок действия сертификата DST Root CA X3 еще на три года можно выполнить следующие команды:

sudo sed -i «s/xMDkzMDE0MDExNVow/0MDkzMDE4MTQwM1ow/g» /etc/ssl/certs/DST_Root_CA_X3. pem

sudo sed -i «s/xMDkzMDE0MDExNVow/0MDkzMDE4MTQwM1ow/g» /etc/ssl/certs/ca-bundle. crt

Не забудьте проверить так же все ваши контейнеры!!! У них свои хранилища корневых сертификатов и могут использоваться другие версии openssl

Открыть скачанный файл, в открывшемся окне выбрать «Установить сертификат

В мастере импорта сертификатов выбрать «Локальный компьютер»:

Выбрать «Поместить все сертификаты в следующее хранилище», в диалоге выбора хранилища, открывающемся по кнопке «Обзор. «, выбрать «Доверенные корневые центры сертификации»:

На последнем шаге мастера нажать кнопку «Готово».

После выполнения этой последовательности шагов, сертификат должен появиться в защищенном хранилище. Чтобы проверить это, нужно нажать комбинацию клавиш «Win+R», откроется диалог «Выполнить», в котором нужно ввести certmgr. msc

В открывшемся окне в подразделе «Сертификаты» раздела «Доверенные корневые центры сертификации» в списке должен появиться сертификат ISRG Root X1:

На стороне сервера

На стороне сервера от вас мало что зависит. Если вы используете сертификаты от Let’s Encrypt на своем сервере, то должны понимать, что после 30 сентября 2021 14:01:15 GMT к вашему серверу смогут без проблем подключиться только клиенты, доверяющие ISRG Root X1 (см. список выше), а также использующие Android >= v2. При этом, если клиенты используют OpenSSL, то они должны пользоваться версией OpenSSL >= 1.

При этом, у вас есть выбор — ценой отказа от поддержки старых Android (оставив поддержку Android >= 7. 1), вы можете сохранить поддержку OpenSSL 1. x без манипуляций на стороне клиента.

Для этого нужно использовать предлагаемую Let’s Encrypt альтернативную цепочку доверия для своих сертификатов. В этой цепочке исключен DST Root CA X3 и выглядит она так:

Для переключения на альтернативную цепочку нужно воспользоваться документацией вашего ACME-клиента. В частности, в certbot за возможность выбора альтернативной цепочки отвечает параметр  —preferred-chain.

Корневые сертификаты

Наши корневые сертификаты хранятся в надёжном месте и недоступны онлайн. Мы выпускаем сертификаты для пользователей на основе промежуточных сертификатов из следующего раздела. Для дополнительной совместимости с новым Root X2 с различными корневыми хранилищами, мы также подписали его с Root X1.

• Активные
  ISRG Root X1 (RSA 4096, O = Internet Security Research Group, CN = ISRG Root X1)
  Самоподписанный: der, pem, txtКросс подписанный DST Root CA X3: der, pem, txt
• ISRG Root X1 (RSA 4096, O = Internet Security Research Group, CN = ISRG Root X1)
  Самоподписанный: der, pem, txtКросс подписанный DST Root CA X3: der, pem, txt
• Самоподписанный: der, pem, txt
• Кросс подписанный DST Root CA X3: der, pem, txt
• Действующий, с ограничениями
  ISRG Root X2 (ECDSA P-384, O = Internet Security Research Group, CN = ISRG Root X2)
  Самоподписанный: der, pem, txtКросс-подписанный ISRG Root X1: der, pem, txt
• ISRG Root X2 (ECDSA P-384, O = Internet Security Research Group, CN = ISRG Root X2)
  Самоподписанный: der, pem, txtКросс-подписанный ISRG Root X1: der, pem, txt
• Кросс-подписанный ISRG Root X1: der, pem, txt

Мы создали сайты для проверки цепочки сертификатов вплоть до активных корневых.

• ISRG Root X1
  ДействительныйОтозванныйСрок действия истёк
• Действительный
• Отозванный
• Срок действия истёк
• ISRG Root X2
  ДействительныйОтозванныйСрок действия истёк

Промежуточные сертификаты

Как правило, сертификаты, выпущенные Let’s Encrypt, создаются на основе “R3”, промежуточного RSA. В настоящее время выпуск сертификатов из “E1”, промежуточного ECDSA-сертификата, возможен только для ключей ECDSA из разрешенных аккаунтов. В будущем выпуск сертификатов из “Е1” будет доступен для всех.

Дополнительные промежуточные сертификаты (“R4” и “E2”) зарезервированы для восстановления после стихийных бедствий, и будут использованы только в том случае, если мы потеряем доступ к нашими основным межуточным сертификатам. Мы больше не используем промежуточные сертификаты X1, X2, X3 и X4.

IdenTrust кросс-подписал наши промежуточные сертификаты RSA для дополнительной совместимости.

• Активные
• Действующий, с ограничениями
• Резервное копирование
• Неиспользуемые

Каждый из наших промежуточных сертификатов представляет собой одну публичную/частную ключевую пару. Это позволяет всем основным браузерам принимать наши сертификаты с нашим же корневым сертификатом.

Кросс-подпись означает, что каждый из наших промежуточных сертификатов имеет два сертификата, представляющих один и тот же ключ подписи. Один подписан DST Root CA X3, другой подписан ISRG Root X1. Самый простой способ отличить их — посмотреть на поле “Issuer” (издатель).

При настройке web-сервера, администратор указывает не только листовые сертификаты, но и список промежуточных сертификатов. Это помогает браузеру проверить, входит ли листовой сертификат в цепочку доверия, ведущую к корневому сертификату. Почти все операторы серверов будут выбирать для обслуживания цепочку, включающую промежуточный сертификат с субъектом “R3” и издателем “ISRG Root X1”. Рекомендуемое клиентское программное обеспечение Let’s Encrypt, Certbot, выполнит эту задачу без затруднений.

Как и промежуточные сертификаты, корневые сертификаты могут быть кросс-подписаны, часто для увеличения клиентской совместимости. Наш корневой ECDSA-сертификат, ISRG Root X2 был создан осенью 2020 года и является корневым сертификатом для иерархии ECDSA. Он представлен двумя сертификатами: самоподписанным и подписанным ISRG Root X1.

Все сертификаты, подписанные промежуточным ECDSA-сертификатом “E1”, будут иметь цепочку с промежуточным сертификатом, у которого субъект “ISRG Root X2”, а издатель “ISRG Root X1”. Почти все сервера выберут для обслуживания эту цепочку, поскольку она обеспечивает наибольшую совместимость до тех пор, пока ISRG Root X2 не получит широкого доверия.

Сертификат подписания ответов OCSP

Этот сертификат используется для подписания ответов OCSP для промежуточных Центров Сертификации Let’s Encrypt. Таким образом нам не нужно иметь онлайне-доступ к корневому сертификату, чтобы подписать эти ответы. Копия сертификата подписания включена в ответ OCSP для информирования, дополнительно пользователям ничего делать не нужно.

У наших новых промежуточных сертификатов нет OCSP URL-адресов (их информация об отзыве вместо этого используется CRL), поэтому мы не выпустили сертификат подписи OCSP от ISRG Root X2.

Прозрачность сертификата

В Let’s Encrypt мы в нацелены на прозрачность в наших процессах и в сертификатах, которые выпускаем. Мы записываем сертификаты в журнал Certificate Transparency сразу, как только выпускаем их. Все наши сертификаты доступны по ссылкам:

• Выпущены Let’s Encrypt Authority X1
• Выпущены Let’s Encrypt Authority X3
• Выпущены Е1
• Выпущены R3

Запрос нового сертификата

• Откройте Диспетчер сертификатов.
• Откройте папку Личный.
• Меню Действие выберите пункт Все задачи и Восстановить сертификат.
• Следуйте указаниям мастера.

• Сертификат службы получить нельзя.
• Чтобы получить сертификат стандарта цифровой подписи (DSS) от центра сертификации, в окне мастера запросов сертификатов следует выбрать шаблон сертификата Только подпись пользователя.

Восстановление сертификата

• Откройте Диспетчер сертификатов.
• Выберите сертификат, который следует восстановить.
• Меню Действие выберите пункт Все задачи и выполните одно из следующих действий:
  Нажмите кнопку Обновить сертификат новым ключом.Наведите указатель мыши на пункт Дополнительные операции и выберите пункт Обновить сертификат тем самым ключом.
• Нажмите кнопку Обновить сертификат новым ключом.
• Наведите указатель мыши на пункт Дополнительные операции и выберите пункт Обновить сертификат тем самым ключом.
• Завершите работу мастера, чтобы восстановить сертификат.

Ошибка продления лицензии — Метод GetLicense завершился с ошибкой

Если у вас после 30 сентября появляется ошибка SslHandshakeFailedError обновления лицензии на IP-приёмнике, то, скорее всего, в вашей операционной системе не установлены обновлённые сертификаты. Для проверки пройдите по ссылке на сайт Let’s Encrypt.

Если на странице вы видите предупреждения безопасности, то вам необходимо добавить сертификат ISRG Root X1 в корневые доверенные сертификаты.

• страница сертификатов Let’s Encrypt
• напрямую с сайта Let’s Encrypt
• с нашего сайта

Следующим шагом необходимо установить сертификат.

Установка сертификата

Открываем скачанный сертификат кликом мыши:

Установим для текущего пользователя, жмём далее

Выбираем «Поместить все сертификаты в следующее хранилище» и нажимаем далее

Выбираем «Доверенные корневые центры сертификации»

Затем повторяем те же шаги для «Локальный компьютер»

На этом установка сертификата закончена.

Перезапуск IP-приёмника

• Завершаем работу IP-приёмника
• Удаляем из папки IP-приёмника C:Program Files (x86)NPO PionerIP-приёмник Барьер файлы private.pem и public.pem
• Запускаем IP-приёмник
• В настройках на вкладке лицензия, проверяем что лицензия успешна получена

Действительность должна быть «Да», время получения — текущее время.

Итоги

30 сентября после окончания срока действия сертификата DST Root CA X3 часть пользователей старых устройств столкнутся с тем, что не смогут корректно открывать сайты, использующие сертификаты Let’s Encrypt. Я бы выделил в первую очередь пользователей старых устройств Apple, для которых нет возможности обновиться хотя бы на iOS 10. Кроме того, под раздачу могут попасть различные устройства IoT, старые телевизоры и подобные им устройства, для которых не существует обновлений с новыми корневыми сертификатами.

В то же время, для администраторов серверов с не очень современным софтом, которые могут взаимодействовать с сервисами, использующими сертификаты Let’s Encrypt, еще есть несколько дней на то, чтобы всё проверить и подготовиться к часу X.

Update: Добавил важное дополнение про необходимость проверки всех используемых контейнеров

Update3: Еще один метод решения проблемы для старых OpenSSL, процедура по добавлению сертификата ISRG Root X1 в доверенные в Windows для тех, кто еще не разобрался

Заключение

В нашем материале мы разобрали, что это за ошибка «Ваши часы отстают» в работе Яндекс. Браузер, и как устранить возникшую проблему. Поскольку причины дисфункции могут иметь различную природу, рекомендуем выполнить весь перечисленный нами комплекс способов, которые помогут решить рассмотренную нами ошибку на вашем Яндекс. Браузер.

Где скачать сертификат DST Root CA x3?

Для этого нажмите сочетание кнопок Win +R и введите команду certmgr. msc — OK. В открывшемся центре сертификатов в Windows откройте вкладку «Доверенные корневые центры сертификации/ сертификаты » — клик правой кнопкой мыши — выберите « Все задачи — импорт»

Как открыть корневые Сертификаты в Windows 7?

Выберите параметр Выполнить в меню Пуск, а затем введите certmgr. Отобразится инструмент диспетчера сертификатов для текущего пользователя. Чтобы просмотреть сертификаты , в разделе Сертификаты — текущий пользователь в левой области разверните каталог для типа сертификата , который нужно просмотреть