Het non-profit certificeringsorgaan Let’s Encrypt, dat door de gemeenschap wordt beheerd en gratis certificaten aanbiedt aan iedereen die dat wil, heeft aangekondigd dat het ongeveer twee miljoen TLS-certificaten vroegtijdig zal intrekken. Dit vertegenwoordigt ongeveer 1% van alle actieve certificaten van dit certificeringsorgaan. De intrekking van de certificaten is geïnitieerd vanwege de vaststelling van een niet-naleving van de specificatievereisten in de code die door Let’s Encrypt wordt gebruikt voor de implementatie van de TLS-ALPN-01-extensie (RFC 7301, Application-Layer Protocol Negotiation). De niet-naleving was gerelateerd aan het ontbreken van bepaalde controles die worden uitgevoerd tijdens het onderhandelen van verbindingen op basis van de TLS-ALPN-extensie, die wordt gebruikt in HTTP/2. Gedetailleerde informatie over het incident zal worden gepubliceerd nadat de problematische certificaten zijn ingetrokken.
Op 26 januari om 03:48 (MSK) was het probleem verholpen, maar alle certificaten die zijn uitgegeven met behulp van de verificatiemethode TLS-ALPN-01, worden ongeldig verklaard. De intrekking van certificaten begint op 28 januari om 19:00 (MSK). Tot die tijd wordt gebruikers die de verificatiemethode TLS-ALPN-01 gebruiken, aangeraden hun certificaten tijdig bij te werken; anders worden ze vroegtijdig ongeldig verklaard.
De relevante meldingen over de noodzaak om certificaten bij te werken, zijn verzonden naar e-mail. Gebruikers die Certbot en dehydrated gebruiken voor het verkrijgen van certificaten, hebben bij het gebruik van de standaardinstellingen geen problemen ondervonden. De TLS-ALPN-01-methode wordt ondersteund in de pakketten Caddy, Traefik, apache mod_md en autocert. U kunt de geldigheid van uw certificaten controleren via de identificatie, serienummers of domeinen in de lijst met problematische certificaten.
Aangezien de wijzigingen het gedrag bij verificatie met de TLS-ALPN-01-methode beïnvloeden, kan het nodig zijn om de ACME-client bij te werken of de instellingen te wijzigen (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik). De wijzigingen omvatten het gebruik van TLS-versies van ten minste 1.2 (klanten kunnen nu TLS 1.1 niet meer gebruiken) en het stoppen van de ondersteuning voor OID 1.3.6.1.5.5.7.1.30.1, dat het verouderde extensie acmeIdentifier identificeert, dat alleen wordt ondersteund in vroege conceptversies van de specificatie RFC 8737 (bij het aanmaken van certificaten is nu alleen OID 1.3.6.1.5.5.7.1.31 toegestaan, en klanten die OID 1.3.6.1.5.5.7.1.30.1 gebruiken, kunnen geen certificaat verkrijgen).
Bron: opennet.ru
