LetsEncrypt plánuje odvolat své certifikáty kvůli softwarové chybě

Společnost LetsEncrypt, která nabízí k použití bezplatné ssl certifikáty pro šifrování, je nucena zrušit některé certifikáty.

Problém souvisí s softwarovou chybou v řídicím softwaru Boulder, používaném k vytvoření CA. Obvykle se kontrola DNS záznamu CAA provádí současně s potvrzením vlastnictví domény, a většina žadatelů obdrží certifikát ihned po kontrole, ale vývojáři softwaru to nastavili tak, že výsledek kontroly je považován za úspěšný ještě během následujících 30 dnů. V některých případech je možné kontrolovat záznamy podruhé, těsně před vydáním certifikátu, zejména je vyžadována opakovaná kontrola CAA během 8 hodin před vydáním, proto jakákoli doména, která byla ověřena před touto lhůtou, musí být zkontrolována znovu.

V čem je tedy chyba? Pokud žádost o certifikát obsahuje N domén, které vyžadují opakovanou kontrolu CAA - Boulder vybral jednu z nich a kontroloval ji Nkrát. Výsledkem byl možnost vydání certifikátu, i když později (do X+30 dnů) byla nastavena CAA záznam, který zakazuje vydání certifikátu LetsEncrypt.

Pro kontrolu certifikátů společnost připravila online nástroj, který ukáže podrobnou zprávu.

Pokročilí uživatelé si mohou vše udělat sami, pomocí následujících příkazů:

# проверка https
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# вариант проверки от @simpleadmin 
echo | openssl s_client -connect example.com:443 |& openssl x509 -noout -serial
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:25 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:587 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:143 -starttls imap -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:993 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# в принципе аналогично проверяются и другие сервисы

Dále je třeba sledovat zde své sériové číslo, a pokud je v seznamu - doporučuje se aktualizovat certifikát(y).

Pro aktualizaci certifikátů lze využít certbot:

certbot renew --force-renewal

Problém byl nalezen ještě 29. února 2020, kvůli jeho vyřešení byl pozastaven vydání certifikátů od 3:10 UTC do 5:22 UTC. Podle interního vyšetřování byla chyba zaznamenána 25. července 2019, podrobnější zprávu společnost poskytne později.

UPD: online služba pro kontrolu certifikátů nemusí fungovat z ruských IP adres.

Zdroj: habr.com