Re: [Announce] Alle Zertifikate von trash.net revoked - announce

13 Apr 2014

Liebe trash.netter,

Alle Serverzertifikate von trash.net sind nun neu erstellt und aktiviert.
Das betrifft folgende Server und Dienste:

Mailservice:
mail.trash.net (SMTP, POP3S, IMAPS)
knox.trash.net (SMTP)

Webserver:
your.trash.net
cloud.trash.net
dspam.trash.net
beer.trash.net

Jabber:
jabber.trash.net

Die Zertifikate enthalten einen RSA Public Key mit 2048 Bits und sind mit
SHA512 RSA von CAcert Class 3 Root signiert. Damit sind womöglich
Client-Softwarepakete im Zugzwang, weil ältere Softwarepakete unter
Umständen das Verfahren SHA512 nicht enthalten und damit die Signatur der
Zertifikate nicht prüfen können.

Bisher ist nur Postfix zusammen mit OpenSSL 1.0.1 kompiliert und damit fähig
die erweiterten Ciphers von TLS 1.2 zu nutzen. Ab sofort ist nun OpenSSL
1.0.1 die offizielle Version von trash.net und die weiteren Dienste werden
nach und nach ebenfalls damit kompiliert werden. Dies bedeutet für ältere
Client-Softwarepakete eine weitere Hürde, weil die viel längere Liste von
Ciphers zu Problemen beim SSL-Handshake führen könnte.

Damit sollte nun auch die Gefährdung durch den Heartbleed Bug via Postfix
seit dem 23.2.2014 und indirekt über Dovecot beseitigt sein. Wer sich
darüber mittels Username/Passwort angemeldet hat, sollte sicherheitshalber
jetzt das Passwort ändern.

Bei Fragen und Bemerkungen stehe ich zur Verfügung

Gruss, Othmar
Sysadmin trash.net

Othmar Truniger
URL http://www.truniger.ch/     Email mailto:truniger@bluewin.ch

...
  -----Ursprüngliche Nachricht-----
 Von: Othmar Truniger [mailto:truniger@bluewin.ch] 
 Gesendet: Samstag, 12. April 2014 15:42
 An: &#39;announce(a)trash.net&#39;
 Betreff: Alle Zertifikate von trash.net revoked

 Liebe trash.netter,

 aus Sicherheitsgründen sind soeben alle Serverzertifikate von 
 trash.net revoked worden. Wer also seinen Zugriff auf einen 
 SSL-Service gegen die CRL von CAcert.org prüft, müsste nun 
 eine Fehlermeldung bekommen.

 Der Hintergrund für diese Aktion ist die Verletzbarkeit von 
 Postfix durch den Heartbleed Bug, welcher durch die 
 Umstellung von Postfix auf OpenSSL seit dem 23.2.2014 
 ausnutzbar war. Der Bug ist nun behoben und nur Postfix war 
 bisher auf OpenSSL 1.0.1 basiert. Allerdings nutzt auch 
 Dovecot das selbe Zertifikat und wer auf Nummer sicher gehen 
 will, sollte auch sein Passwort ändern, da die Kommunikation 
 über POP3S und IMAPS auch nicht mehr als sicher betrachtet 
 werden kann. Aber erst nachdem die Serverzertifikate alle 
 ersetzt sind. Dies wird bis Sonntag Mittag erledigt sein, 
 heute habe ich leider keine Zeit mehr. Ich habe keine 
 direkten Indizien, dass wir aktiv attackiert worden sind. Das 
 Risiko ist klein, aber eine Attacke hinterlässt auch keine Spuren.

 Die gute Nachricht: die neuen Zertifikate werden nach 
 aktuellen Sicherheitskriterien erstellt.
 Die schlechte Nachricht: ältere Softwarepakete werden 
 womöglich Schwierigkeiten mit der Signaturprüfung haben, da 
 Cacert.org nun mit SHA512 und nicht mehr mit SHA1 signiert.

 Bei Fragen und Bemerkungen stehe ich zur Verfügung

 Gruss, Othmar
 Sysadmin trash.net

 Othmar Truniger
 URL http://www.truniger.ch/     Email mailto:truniger@bluewin.ch
 ____________________________________________________