Let's Encrypt révoque 2 millions de certificats en raison de problèmes de mise en œuvre de TLS-ALPN-01

L'autorité de certification à but non lucratif Let’s Encrypt, contrôlée par la communauté et fournissant gratuitement des certificats à toute personne intéressée, a annoncé le rappel anticipé d'environ deux millions de certificats TLS, ce qui représente environ 1 % de tous les certificats actifs de cette autorité de certification. Ce rappel a été initié en raison de la découverte d'un non-respect des exigences de spécification dans le code utilisé par Let’s Encrypt pour la mise en œuvre de l'extension TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation). La non-conformité était liée à l'absence de certaines vérifications effectuées au cours de la négociation des connexions basées sur l'extension TLS ALPN, utilisée dans HTTP/2. Des informations détaillées sur cet incident seront publiées après le rappel des certificats problématiques.

Le 26 janvier à 03h48 (MSK), le problème a été résolu, mais tous les certificats pour lesquels le méthode de vérification TLS-ALPN-01 avait été utilisée lors de l'émission seront considérés comme invalides. Le rappel des certificats commencera le 28 janvier à 19h00 (MSK). D'ici là, il est recommandé aux utilisateurs utilisant la méthode de vérification TLS-ALPN-01 de mettre à jour leurs certificats, sinon ils seront déclarés invalides avant l'heure.

Les notifications correspondantes concernant la nécessité de mettre à jour les certificats ont été envoyées par email. Les utilisateurs qui utilisent les outils Certbot et dehydrated pour obtenir un certificat avec les paramètres par défaut n'ont pas été affectés par le problème. La méthode TLS-ALPN-01 est prise en charge dans les paquets Caddy, Traefik, apache mod_md et autocert. Vous pouvez vérifier la validité de vos certificats en recherchant les identifiants, numéros de série ou domaines dans la liste des certificats problématiques.

Comme les changements affectent le comportement lors de la vérification par la méthode TLS-ALPN-01, la mise à jour du client ACME ou le changement des paramètres (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik) peut être nécessaire pour continuer à fonctionner. Les changements concernent l'utilisation de versions TLS d'au moins 1.2 (les clients ne pourront plus utiliser TLS 1.1) et l'arrêt du support OID 1.3.6.1.5.5.7.1.30.1, identifiant l'ancienne extension acmeIdentifier, prise en charge uniquement dans les premières ébauches de la spécification RFC 8737 (lors de la création de certificat, seul l'OID 1.3.6.1.5.5.7.1.31 est désormais autorisé, et les clients utilisant l'OID 1.3.6.1.5.5.7.1.30.1 ne pourront pas obtenir de certificat).

Source : opennet.ru