LetsEncrypt planlægger at tilbagekalde deres certifikater på grund af en softwarefejl

LetsEncrypt, der tilbyder gratis SSL-certifikater til kryptering, er nødt til at annullere nogle certifikater.

Problemet er relateret til en softwarefejl i det administrative software Boulder, der anvendes til at opbygge CA. Normalt sker kontrol af DNS CAA-poster samtidigt med bekræftelsen af ejerskab af domænet, og de fleste abonnenter modtager certifikatet straks efter bekræftelsen, men softwareudviklerne har gjort det sådan, at resultatet af bekræftelsen anses for bestået endda i de næste 30 dage. Under visse omstændigheder kan CAA-poster kontrolleres igen kort før udstedelsen af certifikatet; specifikt kræves det en gentagen CAA-kontrol inden for 8 timer før udstedelsen, så ethvert domæne, der er blevet kontrolleret tidligere inden denne frist, skal kontrolleres igen.

Hvad er fejlen? Hvis anmodningen om certifikatet indeholder N domæner, der kræver gentagen CAA-kontrol — valgte Boulder et af dem og kontrollerede det N gange. Som resultat var der mulighed for at udstede certifikatet, selvom der senere (indtil X+30 dage) blev oprettet en CAA-post, der forbød udstedelsen af LetsEncrypt-certifikatet.

For at kontrollere certifikaterne har virksomheden forberedt et onlineværktøj, som viser en detaljeret rapport.

Avancerede brugere kan gøre det hele selv ved at bruge følgende kommandoer:

# проверка https
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# вариант проверки от @simpleadmin 
echo | openssl s_client -connect example.com:443 |& openssl x509 -noout -serial
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:25 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:587 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:143 -starttls imap -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:993 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# в принципе аналогично проверяются и другие сервисы

Derefter skal du se på her dit serienummer, og hvis det er på listen — anbefales det at opdatere certifikatet(-erne).

For at opdatere certifikater kan du bruge certbot:

certbot renew --force-renewal

Problemet blev opdaget den 29. februar 2020, og for at løse problemet blev udstedelsen af certifikater suspenderet fra 3:10 UTC til 5:22 UTC. Ifølge en intern undersøgelse blev fejlen indført den 25. juli 2019, og virksomheden vil senere give en mere detaljeret rapport.

UPD: Det online certifikat kontrolservice kan være utilgængeligt fra russiske IP-adresser.

Kilde: habr.com