A LetsEncrypt tervezi, hogy visszavonja tanúsítványait programhibák miatt

A LetsEncrypt vállalat, amely ingyenes SSL tanúsítványokat kínál a titkosításhoz, kénytelen visszavonni bizonyos tanúsítványokat.

A probléma kapcsolódik szoftverhibához a Boulder vezérlőszoftverében, amelyet a CA létrehozásához használnak. Normál esetben a CAA DNS rekord ellenőrzése egyidejűleg történik a domain tulajdonlásának megerősítésével, és a legtöbb aláíró az ellenőrzés után azonnal megkapja a tanúsítványt, de a szoftver fejlesztői úgy alakították, hogy az ellenőrzés eredménye a következő 30 napon belül érvényesnek számítson. Bizonyos esetekben másodszor is ellenőrizni kell a rekordokat közvetlenül a tanúsítvány kiadása előtt, különösen szükséges a CAA második ellenőrzése 8 órával a kiadás előtt, ezért minden domain, amelyet ezen időszak előtt ellenőriztek, újra ellenőrizni kell.

Mi a hiba akkor? Ha a tanúsítványkérelem N domain-t tartalmaz, amelyek CAA újbóli ellenőrzést igényelnek — a Boulder az egyiküket kiválasztja és N alkalommal ellenőrzi. Ennek következtében lehetőség nyílt tanúsítvány kiadására, még akkor is, ha azt követően (X+30 napon belül) CAA rekordot állítanak be, amely megtiltja a LetsEncrypt tanúsítvány kiadását.

A tanúsítványok ellenőrzésére a vállalat előkészített online eszközt, amely részletes jelentést fog mutatni.

A haladó felhasználók mindent önállóan megtehetnek, a következő parancsokkal:

# проверка https
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# вариант проверки от @simpleadmin 
echo | openssl s_client -connect example.com:443 |& openssl x509 -noout -serial
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:25 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:587 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:143 -starttls imap -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:993 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# в принципе аналогично проверяются и другие сервисы

Ezután nézni kell itt a sorozatszámát, és ha az szerepel a listában — ajánlott frissíteni a tanúsítványt.

A tanúsítványok frissítésére a certbot használható:

certbot renew --force-renewal

A problémát már 2020. február 29-én felfedezték, a probléma megoldására a tanúsítványok kiadását 3:10 UTC-től 5:22 UTC-ig felfüggesztették. A belső nyomozás során a hiba 2019. július 25-én került bevezetésre, a vállalat később részletesebb jelentést nyújt be.

UPD: Az online tanúsítványellenőrző szolgáltatás orosz IP-címekkel esetleg nem működik.

Forrás: habr.com