LetsEncrypt planira povući svoje certifikate zbog programske greške

Tvrtka LetsEncrypt koja nudi besplatne SSL certifikate za enkripciju prisiljena je opozvati neke certifikate.

Problem je povezan s programskom greškom u upravljačkom softveru Boulder koji se koristi za izgradnju CA. Obično se provjera DNS zapis CAA događa istovremeno s potvrdom vlasništva domena, a većina pretplatnika dobiva certifikat odmah nakon provjere, ali su programeri softvera napravili tako da se rezultat provjere smatra uspješnim još tijekom sljedećih 30 dana. U nekim slučajevima može se provjeriti zapise drugi put, neposredno prije izdavanja certifikata, a posebno je potrebna ponovna provjera CAA unutar 8 sati prije izdavanja, pa bilo koja domena koja je provjerena prije tog roka mora se ponovno provjeriti.

U čemu se sastoji pogreška? Ako zahtjev za certifikat sadrži N domena koje zahtijevaju ponovnu provjeru CAA — Boulder je odabrao jednu od njih i provjeravao je N puta. Kao rezultat toga, postojala je mogućnost izdavanja certifikata, čak i ako se kasnije (prije X+30 dana) postavi zapis CAA koji zabranjuje izdavanje LetsEncrypt certifikata.

Za provjeru certifikata tvrtka je pripremila online alat, koji će pokazati detaljno izvješće.

Napredni korisnici mogu sve učiniti sami koristeći sljedeće komande:

# проверка https
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# вариант проверки от @simpleadmin 
echo | openssl s_client -connect example.com:443 |& openssl x509 -noout -serial
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:25 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:587 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:143 -starttls imap -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:993 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# в принципе аналогично проверяются и другие сервисы

Zatim treba provjeriti ovdje svoj serijski broj, i ako je na popisu — preporučuje se ažurirati certifikat(e).

Za ažuriranje certifikata može se koristiti certbot:

certbot renew --force-renewal

Problem je otkriven još 29. veljače 2020. godine, kako bi se riješio problem, izdavanje certifikata je zaustavljeno od 3:10 UTC do 5:22 UTC. Prema internom istraživanju, greška je unesena 25. srpnja 2019. godine, detaljnije izvješće tvrtka će pružiti kasnije.

UPD: online servis za provjeru certifikata možda neće raditi s ruskih IP adresa.

Izvor: habr.com