Let's Encrypt სერთიფიკატების მასობრივი გაუქმება

Let's Encrypt, არაკომერციული, საზოგადოების მიერ კონტროლირებადი CA, რომელიც სერთიფიკატებს უფასოდ აძლევს ნებისმიერს, გააფრთხილეს მრავალი ადრე გაცემული TLS/SSL სერთიფიკატის მოახლოებული გაუქმების შესახებ. ამჟამად მოქმედი Let's Encrypt სერთიფიკატებიდან 116 მილიონზე ცოტა მეტი (3%) გაუქმდება, საიდანაც დაახლოებით 2.6 მილიონი არის იმავე დომენზე მიბმული დუბლიკატები (შეცდომა ძირითადად შეეხო სერთიფიკატებს, რომლებიც ძალიან ხშირად განახლდება, რაც არის რატომ არის ამდენი დუბლიკატი). გაწვევა 1 მარტს არის დაგეგმილი (ზუსტი დრო ჯერ დადგენილი არ არის, მაგრამ გაწვევა 4 საათამდე არ მოხდება).

გაწვევის აუცილებლობა გამოწვეულია 29 თებერვალს აღმოჩენის გამო შეცდომა. პრობლემა ჩნდება 25 წლის 2019 ივლისიდან და გავლენას ახდენს DNS-ში CAA ჩანაწერების შემოწმების სისტემაზე. CAA ჩანაწერი (RFC-6844,სერთიფიკატის ავტორიზაციის ავტორიზაცია) დომენის მფლობელს საშუალებას აძლევს ცალსახად განსაზღვროს სერტიფიცირების ორგანო, რომლის მეშვეობითაც შესაძლებელია სერთიფიკატების გენერირება მითითებული დომენისთვის. თუ CA არ არის ჩამოთვლილი CAA ჩანაწერებში, მან უნდა დაბლოკოს სერთიფიკატების გაცემა მოცემული დომენისთვის და აცნობოს დომენის მფლობელს კომპრომისის მცდელობების შესახებ. უმეტეს შემთხვევაში, სერთიფიკატი ითხოვება დაუყოვნებლივ CAA შემოწმების გავლის შემდეგ, მაგრამ შემოწმების შედეგი ითვლება ძალაში კიდევ 30 დღის განმავლობაში. წესები ასევე მოითხოვს ხელახალი გადამოწმების ჩატარებას ახალი სერტიფიკატის გაცემამდე არაუგვიანეს 8 საათისა (ანუ თუ ახალი სერტიფიკატის მოთხოვნისას ბოლო შემოწმებიდან გავიდა 8 საათი, საჭიროა ხელახალი შემოწმება).

შეცდომა ჩნდება, თუ სერტიფიკატის მოთხოვნა ერთდროულად მოიცავს რამდენიმე დომენის სახელს, რომელთაგან თითოეული მოითხოვს CAA ჩანაწერის შემოწმებას. შეცდომის არსი იმაში მდგომარეობს, რომ ხელახალი შემოწმების დროს, ყველა დომენის დამოწმების ნაცვლად, ხელახლა შემოწმდა სიიდან მხოლოდ ერთი დომენი (თუ მოთხოვნას ჰქონდა N დომენი, N განსხვავებული შემოწმების ნაცვლად, ერთი დომენი შემოწმდა N. ჯერ). დანარჩენ დომენებზე მეორე შემოწმება არ განხორციელებულა და გადაწყვეტილების მიღებისას გამოყენებული იქნა პირველი შემოწმების მონაცემები (ანუ გამოყენებული იქნა 30 დღემდე ძველი მონაცემები). შედეგად, პირველი შემოწმებიდან 30 დღის განმავლობაში Let’s Encrypt-ს შეეძლო გასცეს სერთიფიკატი, მაშინაც კი, თუ CAA ჩანაწერის ღირებულება შეიცვლებოდა და Let’s Encrypt ამოღებულ იქნა მისაღები სერტიფიცირების ორგანოების სიიდან.

დაზარალებულ მომხმარებლებს ეცნობება ელექტრონული ფოსტით, თუ საკონტაქტო ინფორმაცია იყო შევსებული სერტიფიკატის მიღებისას. თქვენ შეგიძლიათ შეამოწმოთ თქვენი სერთიფიკატები ჩამოტვირთვის გზით список გაუქმებული სერთიფიკატების სერიული ნომრები ან გამოყენება ონლაინ სერვისი (მდებარეობს IP მისამართზე, დაბლოკილია რუსეთის ფედერაციაში როსკომნადზორის მიერ). თქვენ შეგიძლიათ გაიგოთ სერტიფიკატის სერიული ნომერი საინტერესო დომენისთვის ბრძანების გამოყენებით:

openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 სერიული\ ნომერი | tr-d:

წყარო: opennet.ru