A Let’s Encrypt közösség által irányított nonprofit hitelesítő központ, amely ingyenes tanúsítványokat biztosít minden érdeklődő számára, bejelentette körülbelül kétmillió TLS-tanúsítvány előzetes visszavonását, ami az összes aktív tanúsítvány körülbelül 1%-át jelenti. A tanúsítványok visszavonása a Let’s Encrypt kódjában a TLS-ALPN-01 kiterjesztés (RFC 7301, Application-Layer Protocol Negotiation) követelményeinek való megfelelés hiányosságainak észlelése miatt történt. A különbség az ALPN TLS-kiterjesztés, amely a HTTP/2-ben használatos, során a csatlakozások tárgyalása során elvégzendő ellenőrzések hiányából származott. A részletes információk az incidensről a problémás tanúsítványok visszavonásának befejezése után kerülnek közzétételre.
Január 26-án 03:48 (MSK) a probléma megoldásra került, de minden tanúsítványt, amelynek kibocsátásához a TLS-ALPN-01 módszert használták az ellenőrzéshez, érvénytelennek nyilvánítanak. A tanúsítványok visszavonása január 28-án 19:00 (MSK) kezdődik. Eddig a felhasználóknak, akik a TLS-ALPN-01 ellenőrzési módszert használják, javasolt a tanúsítványok frissítése, különben azok előre érvénytelenné válnak.
A szükséges tanúsítványfrissítési értesítéseket e-mailben küldték el. Azokat a felhasználókat, akik a Certbot és dehydrated eszközöket használják tanúsítvány megszerzésére, a default beállítások mellett nem érintette a probléma. A TLS-ALPN-01 módszert támogatják a Caddy, Traefik, apache mod_md és autocert csomagok. A tanúsítványok érvényességét az azonosítók, sorozatszámok keresése révén ellenőrizhetik, vagy domainok a problémás tanúsítványok listájában.
Mivel a változások érintik a TLS-ALPN-01 módszer szerinti ellenőrzés működését, az ACME-ügyfél frissítése vagy a beállítások módosítása (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik) szükséges lehet a folytatáshoz. A változások abban állnak, hogy a TLS verzióknak legalább 1.2-nek kell lenniük (az ügyfelek mostantól nem használhatják a TLS 1.1-et), valamint az OID 1.3.6.1.5.5.7.1.30.1 támogatásának megszüntetésében, amely az elavult acmeIdentifier kiterjesztést az RFC 8737 specifikáció korai tervezetei által támogatta (a tanúsítványok kiadásakor mostantól csak az OID 1.3.6.1.5.5.7.1.31 engedélyezett, és azok az ügyfelek, akik az OID 1.3.6.1.5.5.7.1.30.1-et használják, nem kaphatnak tanúsítványt).
Forrás: opennet.ru
