Let's Encrypt, otoritas sertifikat nirlaba sing dikontrol dening komunitas lan menehi sertifikat gratis kanggo kabeh wong, ngumumake pencabutan awal kira-kira rong yuta sertifikat TLS, yaiku udakara 1% saka kabeh sertifikat aktif saka otoritas sertifikasi iki. Pembatalan sertifikat kasebut diwiwiti amarga identifikasi ora tundhuk karo syarat spesifikasi ing kode sing digunakake ing Ayo Encrypt kanthi implementasi ekstensi TLS-ALPN-01 (RFC 7301, Negosiasi Protokol Lapisan Aplikasi). Bedane amarga ora ana sawetara pemeriksaan sing ditindakake sajrone proses negosiasi sambungan adhedhasar ekstensi ALPN TLS sing digunakake ing HTTP / 2. Informasi rinci babagan kedadeyan kasebut bakal diterbitake sawise pembatalan sertifikat masalah rampung.
Tanggal 26 Januari jam 03:48 (MSK) masalah kasebut diatasi, nanging kabeh sertifikat sing ditanggepi nggunakake metode TLS-ALPN-01 kanggo verifikasi diputusake ora sah. Pembatalan sertifikat bakal diwiwiti tanggal 28 Januari jam 19:00 (MSK). Nganti wektu iki, pangguna sing nggunakake metode verifikasi TLS-ALPN-01 disaranake kanggo nganyari sertifikat, yen ora, bakal dibatalake luwih awal.
Kabar babagan kabutuhan kanggo nganyari sertifikat wis dikirim liwat email. Pangguna sing nggunakake Certbot lan alat dehidrasi kanggo entuk sertifikat kanthi setelan gawan ora kena pengaruh masalah kasebut. Metode TLS-ALPN-01 didhukung ing paket Caddy, Traefik, Apache mod_md, lan autocert. Sampeyan bisa verifikasi validitas sertifikat kanthi nggoleki pengenal, nomer seri, utawa domain ing dhaptar sertifikat sing bermasalah.
Wiwit owah-owahan mengaruhi prilaku nalika mriksa nggunakake metode TLS-ALPN-01, nganyari klien ACME utawa ngganti setelan (Caddy, bitnami / bn-cert, autocert, apache mod_md, Traefik) bisa uga dibutuhake kanggo terus digunakake. Owah-owahan kasebut kalebu nggunakake versi TLS sing ora luwih murah tinimbang 1.2 (klien ora bakal bisa nggunakake TLS 1.1 maneh) lan deprecation OID 1.3.6.1.5.5.7.1.30.1, sing ngenali ekstensi acmeIdentifier sing ora bisa digunakake, mung didhukung ing sadurungé. konsep saka RFC 8737 specification (nalika ngasilake certificate, saiki Mung OID 1.3.6.1.5.5.7.1.31 diijini, lan klien nggunakake OID 1.3.6.1.5.5.7.1.30.1 ora bisa diwenehi certificate).
Source: opennet.ru
