Die gemeinnützige Zertifizierungsstelle Let's Encrypt, die von der Community betrieben wird und Zertifikate kostenlos an alle Interessierten anbietet, vor dem bevorstehenden Widerruf vieler zuvor ausgegebener TLS/SSL-Zertifikate. Von 116 Millionen derzeit gültigen Let's Encrypt-Zertifikaten werden etwas mehr als 3 Millionen (2,6 %) widerrufen, von denen etwa 1 Million Duplikate sind, die einem einzigen Domainnamen zugeordnet sind (der Fehler betraf hauptsächlich Zertifikate, die sehr häufig aktualisiert wurden, was zu so vielen Duplikaten führte). Der Widerruf ist für den 4. März geplant (die genaue Uhrzeit steht noch nicht fest, aber der Widerruf wird nicht vor 3 Uhr MSK erfolgen).
Die Notwendigkeit des Widerrufs ergibt sich aus einem am 29. Februar . Das Problem besteht seit dem 25. Juli 2019 und betrifft das System zur Überprüfung von CAA-Records im DNS. Der CAA-Record (, Certificate Authority Authorization) ermöglicht es dem Domaininhaber, klar zu definieren, welche Zertifizierungsstelle Zertifikate für die angegebene Domain ausstellen darf. Wenn die Zertifizierungsstelle nicht in den CAA-Einträgen aufgeführt ist, ist sie verpflichtet, die Ausstellung von Zertifikaten für diese Domain zu blockieren und den Domaininhaber über Kompromittierungsversuche zu informieren. In den meisten Fällen wird das Zertifikat sofort nach Abschluss der CAA-Prüfung angefordert, wobei das Ergebnis der Prüfung noch 30 Tage gültig bleibt. Die Regeln schreiben außerdem vor, dass eine erneute Prüfung spätestens 8 Stunden vor der Ausstellung eines neuen Zertifikats erfolgen muss (d.h. wenn seit der letzten Prüfung bei der Anfrage nach einem neuen Zertifikat 8 Stunden vergangen sind, ist eine erneute Prüfung erforderlich).
Der Fehler tritt auf, wenn der Zertifikatsantrag mehrere Domainnamen umfasst, für die jeweils eine CAA-Überprüfung erforderlich ist. Das Problem besteht darin, dass anstelle einer Validierung aller Domains während der erneuten Überprüfung nur eine Domain aus der Liste validiert wurde (wenn im Antrag N Domains enthalten waren, wurde eine Domain N-mal überprüft, anstatt N verschiedene Überprüfungen durchzuführen). Für die anderen Domains fand keine erneute Überprüfung statt, und bei der Entscheidungsfindung wurden die Daten der ersten Überprüfung verwendet (d.h., es wurden Daten verwendet, die bis zu 30 Tage alt sein konnten). Infolgedessen konnte Let’s Encrypt innerhalb von 30 Tagen nach der ersten Überprüfung ein Zertifikat ausstellen, selbst wenn der Wert des CAA-Eintrags geändert wurde und Let’s Encrypt aus der Liste der zulässigen Zertifizierungsstellen entfernt wurde.
Betroffenen Nutzern wurde eine Benachrichtigung per E-Mail gesendet, falls bei der Beantragung des Zertifikats Kontaktdaten angegeben wurden. Ihre Zertifikate können Sie überprüfen, indem Sie von Seriennummern widerrufener Zertifikate herunterladen oder den (unter der IP-Adresse, In der RF durch den Roskomnadzor). Die Seriennummer des Zertifikats für die betreffende Domain kann mit dem folgenden Befehl ermittelt werden:
openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
Quelle: opennet.ru
