Den non-kommercielle certifikatmyndighed Let’s Encrypt, der er fælleskontrolleret og tilbyder certifikater gratis til alle interesserede, om den kommende tilbagetrækning af mange tidligere udstedte TLS/SSL certifikater. Af 116 millioner nuværende certifikater vil lidt over 3 millioner (2,6%) fra Let’s Encrypt blive tilbagetrukket, hvoraf cirka 1 million er duplikater knyttet til én domæne (fejlen berørte hovedsageligt meget ofte opdaterede certifikater, derfor så mange duplikater). Tilbagetrækningen er planlagt til den 4. marts (det præcise tidspunkt er endnu ikke fastsat, men tilbagetrækningen vil ikke finde sted før kl. 3 om natten MSK).
Behovet for tilbagetrækningen udløses af en opdaget . Problemet har vist sig siden den 25. juli 2019 og påvirker systemet til kontrol af CAA-registrer i DNS. CAA-posten (, Certificate Authority Authorization) giver domæneejeren mulighed for at definere, hvilken certificeringsmyndighed der kan generere certifikater for det angivne domæne. Hvis certificeringsmyndigheden ikke er nævnt i CAA-optegnelserne, skal den forhindre udstedelse af certifikater for dette domæne og informere domæneejeren om forsøg på kompromittering. I de fleste tilfælde anmodes der om certifikatet umiddelbart efter bestået CAA-kontrol, men kontrolresultatet anses for gyldigt i 30 dage. Reglerne foreskriver også, at en ny kontrol skal udføres senest 8 timer før udstedelse af et nyt certifikat (dvs. hvis der er gået 8 timer siden sidste kontrol ved anmodning om et nyt certifikat, kræves der en ny kontrol).
Fejlen viser sig, hvis anmodningen om certifikatet dækker flere domænenavne, for hver af hvilke der kræves kontrol af CAA-posten. Kernen i fejlen er, at ved den gentagne kontrol blev der i stedet for validering af alle domæner kun udført en gentagen kontrol af ét domæne fra listen (hvis der i anmodningen var N domæner, blev ét domæne kontrolleret N gange i stedet for N forskellige kontroller). For de øvrige domæner blev der ikke udført en gentagen kontrol, og beslutningen blev truffet ud fra dataene fra den første kontrol (dvs. data, der var op til 30 dage gamle). Som følge heraf kunne Let’s Encrypt i løbet af 30 dage efter den første kontrol have udstedt et certifikat, selvom værdien af CAA-posten var blevet ændret, og Let’s Encrypt var blevet fjernet fra listen over tilladte certificeringsmyndigheder.
Brugere, der er ramt af problemet, har modtaget en email-notifikation, hvis der blev indtastet kontaktoplysninger ved modtagelsen af certifikatet. Du kan tjekke dine certifikater ved at uploade serienumre for tilbagekaldte certifikater eller ved at bruge (hostet på IP-adressen, af Roskomnadzor i Rusland). Du kan finde serienummeret for certifikatet for det ønskede domæne ved hjælp af kommandoen:
openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
Kilde: opennet.ru
