ຂໍໃຫ້ເຂົ້າລະຫັດຖອນໃບຮັບຮອງ 2M ເນື່ອງຈາກບັນຫາການປະຕິບັດ TLS-ALPN-01

Let's Encrypt, ເຈົ້າຫນ້າທີ່ໃບຢັ້ງຢືນທີ່ບໍ່ຫວັງຜົນກໍາໄລທີ່ຖືກຄວບຄຸມໂດຍຊຸມຊົນແລະໃຫ້ໃບຢັ້ງຢືນໂດຍບໍ່ເສຍຄ່າກັບທຸກໆຄົນ, ໄດ້ປະກາດການຖອນໃບຢັ້ງຢືນ TLS ປະມານສອງລ້ານໃບ, ເຊິ່ງແມ່ນປະມານ 1% ຂອງໃບຢັ້ງຢືນທີ່ມີການເຄື່ອນໄຫວຂອງອົງການການຢັ້ງຢືນນີ້. ການຖອນໃບຢັ້ງຢືນໄດ້ຖືກລິເລີ່ມຍ້ອນການກໍານົດການບໍ່ປະຕິບັດຕາມຂໍ້ກໍານົດສະເພາະໃນລະຫັດທີ່ໃຊ້ໃນ Let's Encrypt ດ້ວຍການປະຕິບັດການຂະຫຍາຍ TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation). ຄວາມແຕກຕ່າງແມ່ນເນື່ອງມາຈາກການບໍ່ມີການກວດສອບບາງຢ່າງທີ່ດໍາເນີນໃນລະຫວ່າງຂະບວນການເຈລະຈາການເຊື່ອມຕໍ່ໂດຍອີງໃສ່ສ່ວນຂະຫຍາຍ ALPN TLS ທີ່ໃຊ້ໃນ HTTP/2. ລາຍລະອຽດກ່ຽວກັບເຫດການດັ່ງກ່າວຈະຖືກເຜີຍແຜ່ພາຍຫຼັງການຖອນໃບຢັ້ງຢືນທີ່ມີບັນຫາແລ້ວ.

ໃນວັນທີ 26 ມັງກອນເວລາ 03: 48 (MSK) ບັນຫາໄດ້ຖືກແກ້ໄຂ, ແຕ່ໃບຢັ້ງຢືນທັງຫມົດທີ່ອອກໂດຍໃຊ້ວິທີການ TLS-ALPN-01 ສໍາລັບການຢັ້ງຢືນໄດ້ຖືກຕັດສິນໃຈທີ່ຈະບໍ່ຖືກຕ້ອງ. ການຖອນໃບຢັ້ງຢືນຈະເລີ່ມໃນວັນທີ 28 ມັງກອນ ເວລາ 19:00 ໂມງ (MSK). ຈົນກ່ວາເວລານີ້, ຜູ້ໃຊ້ທີ່ໃຊ້ວິທີການກວດສອບ TLS-ALPN-01 ໄດ້ຖືກແນະນໍາໃຫ້ປັບປຸງໃບຢັ້ງຢືນຂອງພວກເຂົາ, ຖ້າບໍ່ດັ່ງນັ້ນພວກເຂົາຈະບໍ່ຖືກຕ້ອງໄວ.

ການແຈ້ງເຕືອນທີ່ກ່ຽວຂ້ອງກ່ຽວກັບຄວາມຕ້ອງການທີ່ຈະປັບປຸງໃບຢັ້ງຢືນແມ່ນຖືກສົ່ງໄປທາງອີເມວ. ຜູ້ໃຊ້ທີ່ໃຊ້ Certbot ແລະເຄື່ອງມື dehydrated ເພື່ອໃຫ້ໄດ້ຮັບໃບຢັ້ງຢືນບໍ່ໄດ້ຮັບຜົນກະທົບຈາກບັນຫາໃນເວລາທີ່ໃຊ້ການຕັ້ງຄ່າເລີ່ມຕົ້ນ. ວິທີການ TLS-ALPN-01 ແມ່ນຮອງຮັບໃນແພັກເກັດ Caddy, Traefik, apache mod_md ແລະ autocert. ທ່ານສາມາດກວດສອບຄວາມຖືກຕ້ອງຂອງໃບຢັ້ງຢືນຂອງທ່ານໂດຍການຊອກຫາຕົວລະບຸ, ເລກລໍາດັບຫຼືໂດເມນໃນບັນຊີລາຍຊື່ຂອງໃບຢັ້ງຢືນທີ່ມີບັນຫາ.

ເນື່ອງຈາກການປ່ຽນແປງຜົນກະທົບຕໍ່ພຶດຕິກໍາໃນເວລາທີ່ການກວດສອບການນໍາໃຊ້ວິທີການ TLS-ALPN-01, ການປັບປຸງລູກຄ້າ ACME ຫຼືການປ່ຽນແປງການຕັ້ງຄ່າ (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik) ອາດຈະຈໍາເປັນຕ້ອງສືບຕໍ່ເຮັດວຽກ. ການປ່ຽນແປງລວມມີການໃຊ້ TLS ເວີຊັ່ນບໍ່ຕໍ່າກວ່າ 1.2 (ລູກຄ້າຈະບໍ່ສາມາດໃຊ້ TLS 1.1 ໄດ້ອີກຕໍ່ໄປ) ແລະການຍົກເລີກ OID 1.3.6.1.5.5.7.1.30.1 ເຊິ່ງລະບຸສ່ວນຂະຫຍາຍ acmeIdentifier ທີ່ລ້າສະໄຫມ, ຮອງຮັບແຕ່ກ່ອນໜ້ານີ້ເທົ່ານັ້ນ. ຮ່າງຂອງຂໍ້ມູນຈໍາເພາະ RFC 8737 (ເມື່ອສ້າງໃບຢັ້ງຢືນ, ໃນປັດຈຸບັນມີພຽງແຕ່ OID 1.3.6.1.5.5.7.1.31 ເທົ່ານັ້ນທີ່ຖືກອະນຸຍາດ, ແລະລູກຄ້າທີ່ໃຊ້ OID 1.3.6.1.5.5.7.1.30.1 ຈະບໍ່ສາມາດໄດ້ຮັບໃບຢັ້ງຢືນ).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru