Let’s Encrypt: Unexpected certificate warnings

On Mai 2021, Let’s Encrypt issued a note about the expiration of their DST Root CA X3:
https://letsencrypt.org/docs/dst-root-ca-x3-expiration-september-2021/

Now that this root certificate has expired (2021-09-30), your systems might issue a warning when connecting to sites using Let’s Encrypt certificates.

To fix this glitch on a general client, follow the instructions of the link above:

  • Ensure that the involved systems trust the ISRG Root X1 CA
  • If such systems depend on OpenSSL, ensure that they’re using at version 1.1.0 or later
«Let’s Encrypt: Unexpected certificate warnings» weiterlesen

 115 total views,  1 views today

FortiGate SSLVPN Update-Empfehlung

Update, Nov 2020:

More than a year after Fortinet described this SSLVPN vulnerability, it gets new attention. A few days ago a list of IPs and domain names of vulnerable Fortigates was published. This list is dated November 2019 and one can only hope that many of these systems have already been patched.

Two days ago, this list was extended with usernames and passwords that were exploted via this vulnerability. Even if the Fortigates have been patched – as long as the passwords have not been changed, an attacker could still use them to gain access to protected networks.

«FortiGate SSLVPN Update-Empfehlung» weiterlesen

What’s new with FortiOS 6.2/6.0.8: Update issue with certificate for WebUI

Recently we have had a few support cases where a customer was unable to log in to the firewall via WebUI after the firmware update. But SSH access worked fine.

It turned out that during the update process the server certificate used for the WebUI is lost.

Config with v6.0.4 (it does not happen with «self-signed» only):

config system global
set admin-server-cert "self-signed"
end
«What’s new with FortiOS 6.2/6.0.8: Update issue with certificate for WebUI» weiterlesen

«Finger weg von HTTPS?» – Ist SSL Interception fahrlässig?

Kürzlich wurden wir von einem Reseller zu unserer Meinung zu folgendem Heise-Artikel gefragt: Sicherheitsforscher an AV-Hersteller: «Finger weg von HTTPS».

Der Artikel klingt zugegebenermassen wirklich nicht gerade vertrauenserweckend. Die Fortigates sind im Artikel namentlich nicht benannt. Und eine Konfigurationsmöglichkeit haben wir auf der Fortigate hierfür auch nicht gefunden. So stellt sich natürlich die Frage, wie die Fortigate sich bei der SSL Interception genau verhält. Ist es «fahrlässig» die SSL Interception («deep inspection») der Fortigate zu aktivieren? Führt diese Konfiguration zu «dramatischen Sicherheitsproblemen»?

Uns blieb nichts anderes übrig, als den guten alten Packetsniffer hervor zu kramen, eine Fortigate mit dem SSL-Profile «Deep Inspection» zu versehen und dann die SSL Negotiation sowohl beim Client als auch auf dem WAN-Interface der Fortigate (also da, wo die Fortigate die eigene SSL Verbindung aufbaut) mitzusniffen.

««Finger weg von HTTPS?» – Ist SSL Interception fahrlässig?» weiterlesen

OpenSSL Heartbleed Bug Informationen

Hier finden Sie Informationen zu der OpenSSL Schwachstelle und Herstellerinformationen.

«Offizielle» Webseiten
http://heartbleed.com/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160

Testseiten
http://filippo.io/Heartbleed/
https://www.ssllabs.com

Betroffene OpenSSL Versionen
OpenSSL 1.0.1 through 1.0.1f (inclusive) are vulnerable
OpenSSL 1.0.1g is NOT vulnerable
OpenSSL 1.0.0 branch is NOT vulnerable
OpenSSL 0.9.8 branch is NOT vulnerable

«OpenSSL Heartbleed Bug Informationen» weiterlesen

MS-SecurityUpdate verursacht SSLVPN-Probleme….

Am 10. Januar 2012 hat MS ein SecurityUpdate veröffentlicht (http://technet.microsoft.com/en-us/security/bulletin/ms12-006 – KB2585542 ), welches ein Problem beim SSL 3.0 und TLS 1.0 beheben soll.

Dummerweise macht das SSLVPN von Fortinet (im Browser Mode) Probleme, wenn dieses Update installiert ist. Wird das SSLVPN-Portal aufgerufen, wird das Zertifikat der Fortigate zwar noch geprüft, danach kann die Webseite jedoch nicht mehr aufgerufen werden.

Die aktuelle Aussage von Fortinet dazu:
We know about this issue and engineering is working on fixed version.
It could be released next week, but can’t guarantee it.

You can follow this Microsoft article to disable mentioned patch:
http://support.microsoft.com/kb/2643584 or use another browser for accessing VPN portal.

«MS-SecurityUpdate verursacht SSLVPN-Probleme….» weiterlesen