ביטול בכמות גדולה של אישורי Let's Encrypt

Let's Encrypt היא רשות אישורים ללא מטרות רווח הנשלטת על ידי קהילה המספקת אישורים בחינם לכולם. הזהיר על הביטול הקרוב של תעודות TLS/SSL רבות שהונפקו בעבר. מתוך 116 מיליון אישורי Let's Encrypt התקפים כיום, קצת יותר מ-3 מיליון (2.6%) יבוטלו, מתוכם כמיליון כפולים הקשורים לאותו תחום (השגיאה פגעה בעיקר בתעודות שמתעדכנות בתדירות גבוהה, כלומר למה יש כל כך הרבה כפילויות). הריקול מתוכנן ל-1 במרץ (השעה המדויקת טרם נקבעה, אך הריקול יתרחש רק בשעה 4:3 MSK).

הצורך בריקול נובע מהגילוי ב-29 בפברואר בטעות. הבעיה מופיעה מאז 25 ביולי 2019 ומשפיעה על המערכת לבדיקת רשומות CAA ב-DNS. שיא CAA (RFC-6844,אישור רשות אישורים) מאפשר לבעל הדומיין להגדיר במפורש רשות אישורים באמצעותה ניתן להפיק אישורים עבור תחום מוגדר. אם CA אינו רשום ברשומות ה-CAA, עליו לחסום את הנפקת האישורים עבור דומיין נתון וליידע את בעל הדומיין על ניסיונות פשרה. ברוב המקרים, האישור מתבקש מיד לאחר מעבר בדיקת CAA, אך תוצאת הבדיקה נחשבת לתקפה למשך 30 יום נוספים. הכללים מחייבים גם לבצע אימות חוזר לא יאוחר מ-8 שעות לפני הנפקת תעודה חדשה (כלומר, אם חלפו 8 שעות מהבדיקה האחרונה בעת בקשת תעודה חדשה, נדרש אימות חוזר).

השגיאה מתרחשת אם בקשת האישור מכסה מספר שמות דומיין בו-זמנית, שכל אחד מהם דורש בדיקת רשומות CAA. מהות השגיאה היא שבזמן הבדיקה מחדש, במקום אימות כל הדומיינים, נבדק מחדש רק דומיין אחד מהרשימה (אם לבקשה היו N דומיינים, במקום N בדיקות שונות, דומיין אחד נבדק N פִּי). לגבי שאר התחומים, לא בוצעה בדיקה שנייה והנתונים מהבדיקה הראשונה שימשו בעת קבלת ההחלטה (כלומר, נעשה שימוש בנתונים שהיו בני עד 30 יום). כתוצאה מכך, תוך 30 יום לאחר האימות הראשון, Let's Encrypt תוכל להנפיק אישור גם אם הערך של רשומת ה-CAA שונה ו-Let's Encrypt הוסר מרשימת ה-CAs המקובלים.

המשתמשים המושפעים מקבלים הודעה בדוא"ל אם פרטי הקשר מולאו בעת קבלת האישור. אתה יכול לבדוק את האישורים שלך על ידי הורדה список מספרים סידוריים של תעודות שבוטלו או שימוש שירות מקוון (ממוקם בכתובת ה-IP, חָסוּם בפדרציה הרוסית מאת Roskomnadzor). אתה יכול לברר את המספר הסידורי של האישור עבור תחום העניין באמצעות הפקודה:

openssl s_client -connect example.com:443 -showcerts /dev/null\
| openssl x509 -טקסט -noout | grep -A 1 מספר סידורי\ | tr -d :

מקור: OpenNet.ru