A közösség által kezelt non-profit Let’s Encrypt tanúsítványkiadó, amely ingyenes tanúsítványokat biztosít mindenkinek, a sok korábban kiadott TLS/SSL tanúsítvány várható visszahívására. Az 116 millió jelenleg érvényes Let's Encrypt tanúsítványból kicsivel több mint 3 milliót (2,6%) fognak visszahívni, amelyek közül körülbelül 1 millió duplikált, egy domainhez kötve (a hiba főként a nagyon gyakran frissített tanúsítványokat érintette, ezért annyi a duplikátum). A visszahívás március 4-re van tervezve (a pontos idő még nem ismert, de a visszahívás legkorábban 3 órakor lesz MOSZ idő szerint).
A visszahívás szükségességét az február 29-én hiba indokolja. A probléma 2019. július 25. óta fennáll, és a DNS-ban található CAA-rekordok ellenőrzési rendszerét érinti. A CAA-rekord (, Certificate Authority Authorization) lehetővé teszi a domain tulajdonosa számára, hogy kifejezetten meghatározza azt a tanúsítványkiadót, amelyen keresztül tanúsítványokat lehet generálni a megadott domainhez. Ha a tanúsítványkiadó nincs felsorolva a CAA-rekordokban, akkor köteles letiltani a tanúsítványok kiadását a megadott domainhez, és tájékoztatni a domain tulajdonosát a kompromittálási kísérletekről. A legtöbb esetben a tanúsítványt azonnal a CAA-ellenőrzés elvégzése után kérik, de az ellenőrzés eredménye még 30 napig érvényes. A szabályok azt is előírják, hogy új tanúsítvány kiadása előtt legfeljebb 8 órával ismételt ellenőrzést kell végezni (tehát ha egy új tanúsítvány kérelmezése előtt 8 óra telt el az utolsó ellenőrzés óta, szükséges az ismételt ellenőrzés).
A hiba akkor jelentkezik, ha a tanúsítvány kérés több domain nevet ölel fel, amelyek mindegyikére szükség van a CAA rekord ellenőrzésére. A hiba lényege, hogy az újabb ellenőrzés során nem minden domain érvényesítése történt meg, hanem csak egy domain ellenőrizte újra a lista alapján (ha N domain volt a kérésben, akkor N különböző ellenőrzés helyett egy domain-t ellenőriztek N alkalommal). A többi domain esetében az újabb ellenőrzést nem végezték el, és a döntés meghozatalakor az első ellenőrzés adatai kerültek felhasználásra (azaz olyan adatok, amelyek akár 30 naposak is lehettek). Ennek következtében a Let’s Encrypt a 30 napos időszak alatt kiadhatott tanúsítványt, még akkor is, ha a CAA rekord értéke megváltozott, és a Let’s Encrypt-et eltávolították a megengedett hitelesítő hatóságok listájáról.
A problémának kitett felhasználók értesítést kaptak e-mailben, ha a tanúsítvány igénylése során kitöltötték a kapcsolattartási adatokat. A tanúsítványaikat a következő linken ellenőrizhetik: visszavont tanúsítványok sorozatszámait tartalmazó (IP-címen elérhető, ). Az érdeklődő domain tanúsítvány sorozatszámát a következő parancs segítségével lehet megtudni:
openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
Forrás: opennet.ru
