LetsEncrypt מתכננת לבטל את האישורים שלה עקב באג בתוכנה

LetsEncrypt, המציעה תעודות SSL בחינם להצפנה, נאלצת לבטל כמה אישורים.

הבעיה קשורה ל שגיאת תוכנה בתוכנת בקרת בולדר המשמשת לבניית ה-CA. בדרך כלל, אימות ה-DNS של רשומת ה-CAA מתרחש בו-זמנית עם אישור הבעלות על הדומיין, ורוב המנויים מקבלים אישור מיד לאחר האימות, אך מפתחי התוכנה עשו זאת כך שתוצאת האימות תיחשב שעברה בתוך 30 הימים הבאים. . במקרים מסוימים, ניתן לבדוק רשומות פעם שנייה רגע לפני הנפקת התעודה, בפרט יש לאמת מחדש את ה-CAA תוך 8 שעות לפני ההנפקה, ולכן יש לאמת מחדש כל דומיין שאומת לפני תקופה זו.

מה הטעות? אם בקשת אישור מכילה N דומיינים הדורשים אימות חוזר של CAA, Boulder בוחר אחד מהם ומאמת אותו N פעמים. כתוצאה מכך, ניתן היה להנפיק תעודה גם אם קבעתם מאוחר יותר (עד X+30 ימים) רשומת CAA האוסרת הנפקת תעודת LetsEncrypt.

לאימות אישורים, החברה הכינה כלי מקווןשיציג דוח מפורט.

משתמשים מתקדמים יכולים לעשות הכל בעצמם באמצעות הפקודות הבאות:

# проверка https
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# вариант проверки от @simpleadmin 
echo | openssl s_client -connect example.com:443 |& openssl x509 -noout -serial
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:25 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:587 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:143 -starttls imap -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:993 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# в принципе аналогично проверяются и другие сервисы

הבא אתה צריך להסתכל כאן המספר הסידורי שלך, ואם הוא ברשימה, מומלץ לחדש את התעודות.

כדי לעדכן אישורים, אתה יכול להשתמש ב-certbot:

certbot renew --force-renewal

הבעיה נמצאה ב-29 בפברואר 2020; כדי לפתור את הבעיה, הנפקת האישורים הושעתה מ-3:10 UTC עד 5:22 UTC. לפי החקירה הפנימית, הטעות נפלה ב-25 ביולי 2019; החברה תמסור דיווח מפורט יותר בהמשך.

UPD: ייתכן ששירות אימות האישורים המקוון לא יפעל מכתובות IP רוסיות.

מקור: www.habr.com