neziskový certifikační úřad Let’s Encrypt, řízený komunitou a poskytující certifikáty zdarma všem zájemcům, o plánovaném odvolání mnoha dříve vydaných TLS/SSL certifikátů. Z 116 milionů nyní platných certifikátů Let’s Encrypt bude odvoláno něco málo přes 3 miliony (2,6 %), z nichž přibližně 1 milion je duplicitních, přidružených k jednomu doméně (chyba se hlavně dotkla velmi často aktualizovaných certifikátů, proto je tolik duplicit). Odvolání je naplánováno na 4. března (přesný čas zatím nebyl určen, ale odvolání bude provedeno nejdříve ve 3 ráno MSK).
Potřeba odvolání je způsobena zjištěním 29. února . Problém se projevuje od 25. července 2019 a dotýká se systému ověřování CAA záznamů v DNS. Záznam CAA (, Certificate Authority Authorization) umožňuje vlastníkovi domény jasně určit certifikační autoritu, prostřednictvím které lze generovat certifikáty pro danou doménu. Pokud certifikační autorita není uvedena v záznamech CAA, je povinen zablokovat vydání certifikátů pro tuto doménu a informovat majitele domény o pokusech o kompromitaci. Většinou je certifikát požadován hned po úspěšném ověření CAA, ale výsledek ověření se považuje za platný ještě 30 dní. Pravidla také přikazují provádět opětovnou kontrolu nejdéle 8 hodin před vydáním nového certifikátu (tj. pokud od posledního ověření uplynulo 8 hodin, je potřebná opětovná kontrola).
Chyba se projevuje, pokud žádost o certifikát pokrývá několik domén, pro které je vyžadováno ověření záznamu CAA. Podstatou chyby je, že v okamžiku opětovného ověření místo validace všech domén byla provedena opětovná kontrola pouze jedné domény ze seznamu (pokud ve žádosti bylo N domén, místo N různých kontrol, byla jedna doména ověřena Nkrát). Pro ostatní domény opětovná kontrola nebyla provedena a při rozhodování byla použita data první kontroly (tj. byla použita data stará až 30 dní). V důsledku toho mohl Let’s Encrypt vydat certifikát během 30 dní po první kontrole, i když se hodnota záznamu CAA změnila a Let’s Encrypt byla odstraněna ze seznamu povolených certifikačních autorit.
Uživatelé dotčení problémem obdrželi e-mailové upozornění, pokud byly při získání certifikátu vyplněny kontaktní údaje. Svoje certifikáty můžete zkontrolovat nahráním sériových čísel zrušených certifikátů nebo využitím (umístěné na IP adrese, v RF Roskomnadzorem). Získat sériové číslo certifikátu pro danou doménu můžete pomocí příkazu:
openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
Zdroj: opennet.ru
