L'ente di certificazione no-profit Let’s Encrypt, controllato dalla comunità e che fornisce certificati gratuitamente a chiunque lo desideri, riguardo al ritiro imminente di molti certificati TLS/SSL precedentemente emessi. Dei 116 milioni di certificati attivi di Let’s Encrypt, saranno ritirati poco più di 3 milioni (2,6%), di cui circa 1 milione sono duplicati associati a un unico dominio (l'errore ha principalmente colpito certificati aggiornati molto frequentemente, quindi ci sono molti duplicati). Il ritiro è previsto per il 4 marzo (il tempo esatto non è ancora stato definito, ma il ritiro non avverrà prima delle 3 di notte MSK).
La necessità del ritiro è dovuta all'errore identificato il 29 febbraio . Il problema si manifesta dal 25 luglio 2019 e riguarda il sistema di verifica delle registrazioni CAA nel DNS. La registrazione CAA (, Certificate Authority Authorization) consente al proprietario del dominio di specificare esplicitamente l'autorità di certificazione tramite la quale è possibile generare certificati per il dominio indicato. Se l'autorità di certificazione non è elencata nelle registrazioni CAA, è tenuta a bloccare l'emissione di certificati per tale dominio e a informare il proprietario del dominio riguardo ai tentativi di compromissione. Nella maggior parte dei casi, il certificato viene richiesto subito dopo il superamento della verifica CAA, ma il risultato della verifica è considerato valido per ulteriori 30 giorni. Le regole prescritte richiedono anche di eseguire una nuova verifica non oltre 8 ore prima dell'emissione di un nuovo certificato (cioè, se dalla richiesta di un nuovo certificato dall'ultima verifica sono passate 8 ore, è necessaria una nuova verifica).
L'errore si verifica se la richiesta del certificato copre più nomi di dominio, per ciascuno dei quali è necessaria la verifica della registrazione CAA. La sostanza dell'errore è che al momento della nuova verifica, invece di validare tutti i domini, veniva eseguita nuovamente la verifica solo su uno dei domini nella lista (se la richiesta conteneva N domini, anziché N diverse verifiche, un dominio veniva verificato N volte). Per gli altri domini, la nuova verifica non veniva eseguita e per la decisione venivano utilizzati i dati della prima verifica (cioè venivano utilizzati dati fino a 30 giorni). Di conseguenza, nei 30 giorni successivi alla prima verifica, Let’s Encrypt potrebbe emettere un certificato, anche se il valore della registrazione CAA era stato modificato e Let’s Encrypt era stato rimosso dall'elenco delle autorità di certificazione consentite.
Agli utenti coinvolti nel problema è stata inviata una notifica via email, se al momento dell'ottenimento del certificato erano stati forniti i dati di contatto. È possibile controllare i propri certificati caricando i numeri di serie dei certificati revocati o utilizzando (ospitato su un indirizzo IP, in RF da Roskomnadzor). È possibile scoprire il numero di serie del certificato per il dominio di interesse utilizzando il comando:
openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
Fonte: opennet.ru
