ການຍົກເລີກໃບຮັບຮອງ Let's Encrypt ຈໍານວນຫລາຍ

Let's Encrypt ເປັນອົງການຢັ້ງຢືນທີ່ບໍ່ຫວັງຜົນກຳໄລທີ່ຄວບຄຸມໂດຍຊຸມຊົນທີ່ໃຫ້ໃບຢັ້ງຢືນຟຣີແກ່ທຸກຄົນ. ເຕືອນ ກ່ຽວກັບການຖອນໃບຢັ້ງຢືນ TLS/SSL ທີ່ອອກກ່ອນໜ້ານີ້ຫຼາຍອັນທີ່ຈະມາເຖິງ. ໃນຈໍານວນ 116 ລ້ານໃບຮັບຮອງ Let's Encrypt ທີ່ຖືກຕ້ອງໃນປັດຈຸບັນ, ຫຼາຍກ່ວາ 3 ລ້ານ (2.6%) ຈະຖືກຖອນຄືນ, ເຊິ່ງປະມານ 1 ລ້ານແມ່ນຊໍ້າກັນທີ່ຜູກມັດກັບໂດເມນດຽວກັນ (ຄວາມຜິດພາດສ່ວນໃຫຍ່ແມ່ນມີໃບຢັ້ງຢືນທີ່ຖືກປັບປຸງເລື້ອຍໆ, ເຊິ່ງແມ່ນ. ເປັນຫຍັງຈຶ່ງມີຫຼາຍຊໍ້າກັນ). ການເອີ້ນຄືນແມ່ນກໍານົດສໍາລັບ 4 ມີນາ (ເວລາທີ່ແນ່ນອນຍັງບໍ່ທັນໄດ້ຖືກກໍານົດ, ແຕ່ການເອີ້ນຄືນຈະບໍ່ເກີດຂຶ້ນຈົນກ່ວາ 3 ໂມງເຊົ້າ MSK).

ຄວາມຕ້ອງການສໍາລັບການເອີ້ນຄືນແມ່ນຍ້ອນການຄົ້ນພົບໃນວັນທີ 29 ກຸມພາ ຜິດ​ພາດ. ບັນຫາໄດ້ປະກົດຂຶ້ນຕັ້ງແຕ່ວັນທີ 25 ກໍລະກົດ 2019 ແລະສົ່ງຜົນກະທົບຕໍ່ລະບົບການກວດສອບບັນທຶກ CAA ໃນ DNS. ບັນທຶກ CAA (RFC-6844,Certificate Authority Authorization) ອະນຸຍາດໃຫ້ເຈົ້າຂອງໂດເມນສາມາດກໍານົດສິດອໍານາດການຢັ້ງຢືນຢ່າງຊັດເຈນໂດຍຜ່ານທີ່ໃບຢັ້ງຢືນສາມາດຖືກສ້າງຂື້ນສໍາລັບໂດເມນທີ່ລະບຸໄວ້. ຖ້າ CA ບໍ່ໄດ້ລະບຸໄວ້ໃນບັນທຶກ CAA, ມັນຕ້ອງຂັດຂວາງການອອກໃບຢັ້ງຢືນສໍາລັບໂດເມນທີ່ກໍານົດແລະແຈ້ງໃຫ້ເຈົ້າຂອງໂດເມນກ່ຽວກັບຄວາມພະຍາຍາມທີ່ຈະປະນີປະນອມ. ໃນກໍລະນີຫຼາຍທີ່ສຸດ, ໃບຢັ້ງຢືນຖືກຮ້ອງຂໍທັນທີຫຼັງຈາກຜ່ານການກວດສອບ CAA, ແຕ່ຜົນຂອງການກວດສອບແມ່ນຖືວ່າຖືກຕ້ອງສໍາລັບອີກ 30 ມື້. ກົດລະບຽບຍັງຮຽກຮ້ອງໃຫ້ມີການກວດສອບຄືນໃຫມ່ບໍ່ເກີນ 8 ຊົ່ວໂມງກ່ອນການອອກໃບຢັ້ງຢືນໃຫມ່ (ເຊັ່ນ: ຖ້າ 8 ຊົ່ວໂມງຜ່ານການກວດສອບຄັ້ງສຸດທ້າຍໃນເວລາຮ້ອງຂໍໃບຢັ້ງຢືນໃຫມ່, ຕ້ອງມີການກວດສອບໃຫມ່).

ຂໍ້ຜິດພາດເກີດຂື້ນຖ້າຄໍາຮ້ອງຂໍໃບຢັ້ງຢືນກວມເອົາຊື່ໂດເມນຫຼາຍຄັ້ງ, ແຕ່ລະອັນຮຽກຮ້ອງໃຫ້ມີການກວດສອບບັນທຶກ CAA. ໂດຍເນື້ອແທ້ແລ້ວຂອງຄວາມຜິດພາດແມ່ນວ່າໃນເວລາທີ່ການກວດສອບໃຫມ່, ແທນທີ່ຈະກວດສອບໂດເມນທັງຫມົດ, ພຽງແຕ່ຫນຶ່ງໂດເມນຈາກບັນຊີລາຍຊື່ໄດ້ຖືກກວດສອບຄືນໃຫມ່ (ຖ້າຄໍາຮ້ອງຂໍມີ N ໂດເມນ, ແທນທີ່ຈະມີການກວດສອບທີ່ແຕກຕ່າງກັນ N, ຫນຶ່ງໂດເມນຖືກກວດສອບ N. ຄັ້ງ). ສໍາລັບໂດເມນທີ່ຍັງເຫຼືອ, ການກວດສອບຄັ້ງທີສອງບໍ່ໄດ້ດໍາເນີນການແລະຂໍ້ມູນຈາກການກວດສອບຄັ້ງທໍາອິດຖືກນໍາໃຊ້ໃນເວລາຕັດສິນໃຈ (i. e., ຂໍ້ມູນທີ່ມີອາຍຸສູງສຸດ 30 ມື້ຖືກນໍາໃຊ້). ດັ່ງນັ້ນ, ພາຍໃນ 30 ມື້ຫຼັງຈາກການກວດສອບຄັ້ງທໍາອິດ, Let's Encrypt ສາມາດອອກໃບຢັ້ງຢືນ, ເຖິງແມ່ນວ່າມູນຄ່າຂອງບັນທຶກ CAA ໄດ້ຖືກປ່ຽນແປງແລະ Let's Encrypt ຖືກລຶບອອກຈາກບັນຊີລາຍຊື່ຂອງເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນທີ່ຍອມຮັບ.

ຜູ້​ໃຊ້​ທີ່​ໄດ້​ຮັບ​ຜົນ​ກະ​ທົບ​ຈະ​ໄດ້​ຮັບ​ແຈ້ງ​ໂດຍ​ອີ​ເມລ​໌​ຖ້າ​ຫາກ​ວ່າ​ຂໍ້​ມູນ​ການ​ຕິດ​ຕໍ່​ໄດ້​ຖືກ​ຕື່ມ​ຂໍ້​ມູນ​ໃສ່​ໃນ​ເວ​ລາ​ທີ່​ໄດ້​ຮັບ​ໃບ​ຢັ້ງ​ຢືນ. ທ່ານສາມາດກວດສອບໃບຢັ້ງຢືນຂອງທ່ານໂດຍການດາວໂຫຼດ ບັນຊີລາຍຊື່ ໝາຍເລກຊີຣຽວຂອງໃບຮັບຮອງທີ່ຖືກຖອນ ຫຼືນຳໃຊ້ ບໍລິການອອນໄລນ໌ (ຕັ້ງຢູ່ໃນທີ່ຢູ່ IP, ຖືກບລັອກ ໃນສະຫະພັນລັດເຊຍໂດຍ Roskomnadzor). ທ່ານສາມາດຊອກຫາເລກລໍາດັບຂອງໃບຢັ້ງຢືນສໍາລັບໂດເມນທີ່ມີຄວາມສົນໃຈໂດຍໃຊ້ຄໍາສັ່ງ:

openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :

ແຫຼ່ງຂໍ້ມູນ: opennet.ru