Неправителствен сертификат Let’s Encrypt, контролиран от общността и предоставящ сертификати безплатно на всеки желаещи, за предстоящото отзоваване на много предишно издадени TLS/SSL сертификати. От 116 милиона в момента действащи сертификати Let’s Encrypt ще бъдат отзовани малко над 3 милиона (2.6%), от които приблизително 1 милион са дубликати, свързани с един домейн (грешката основно засегна много често обновяваните сертификати, затова има толкова много дубликати). Отзоваването е планирано за 4 март (точното време все още не е определено, но ще се извърши не по-рано от 3 часа сутринта MSK).
Необходимостта от отзоваване е обоснована от откритата на 29 февруари . Проблемът се проявява от 25 юли 2019 година и засяга системата за проверка на CAA записи в DNS. CAA записа (, Certificate Authority Authorization) позволява на собственика на домейна ясно да определи удостоверяващия център, през който могат да бъдат генерирани сертификати за определения домейн. Ако удостоверяващият център не е изброен в CAA записите, той е задължен да блокира издаването на сертификати за този домейн и да информира собственика на домейна за опити за компрометиране. В повечето случаи сертификатът се изисква веднага след преминаването на проверката на CAA, но резултатът от проверката се счита за валиден за още 30 дни. Правилата също така предписват да се извърши повторна проверка не по-късно от 8 часа преди издаването на нов сертификат (т.е. ако при искането за нов сертификат е изминал 8 часа от последната проверка, е необходима повторна проверка).
Грешката се проявява, ако искането за сертификат обхваща няколко домейна, за всеки от които е необходима проверка на CAA записа. Същността на грешката е, че в момента на повторната проверка вместо валидиране на всички домейни, се извършва повторна проверка само на един домейн от списъка (ако в искането имаше N домейна, вместо N различни проверки, един домейн се проверява N пъти). За останалите домейни повторна проверка не е извършвана и при вземането на решение се е използвала информацията от първата проверка (т.е. е била използвана информация, стара до 30 дни). В резултат, в рамките на 30 дни след първата проверка Let’s Encrypt е могъл да издаде сертификат, дори ако стойността на CAA записа е била променена и Let’s Encrypt е бил премахнат от списъка на допустимите удостоверяващи центрове.
На потребителите, засегнати от проблема, е изпратено уведомление по имейл, ако при получаване на сертификата са попълнени контактните данни. Можете да проверите своите сертификати, като изтеглите серийните номера на отзовани сертификати или използвате (разположена на IP адрес, РФ от Роскомнадзор). Можете да разберете серийния номер на сертификата за интересуващия ви домейн, като използвате командата:
openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
Източник: opennet.ru
