Let’s Encrypt is een non-profit certificeringsinstantie die door de gemeenschap wordt beheerd en gratis certificaten aanbiedt aan iedereen die dat wil. Dit betreft de aanstaande intrekking van veel eerder uitgereikte TLS/SSL-certificaten. Van de 116 miljoen momenteel actieve certificaten van Let’s Encrypt zullen er iets meer dan 3 miljoen (2,6%) worden ingetrokken, waarvan ongeveer 1 miljoen duplicaten zijn die aan één domein zijn gekoppeld (een fout die vooral vaak vernieuwde certificaten heeft aangetast, vandaar het grote aantal duplicaten). De intrekking is gepland voor 4 maart (de exacte tijd is nog niet bepaald, maar de intrekking zal niet eerder dan 3 uur 's nachts MSK worden uitgevoerd).
De noodzaak voor de intrekking is het gevolg van de ontdekking op 29 februari Het probleem doet zich voor sinds 25 juli 2019 en heeft betrekking op het systeem voor het controleren van CAA-records in DNS. Een CAA-record (, Certificate Authority Authorization) stelt de eigenaar van een domein in staat om duidelijk aan te geven welke certificeringsinstantie certificaten kan genereren voor het opgegeven domein. Als de certificeringsinstantie niet in de CAA-records staat vermeld, is deze verplicht om de uitgifte van certificaten voor dat domein te blokkeren en de domeineigenaar te informeren over pogingen tot compromittering. In de meeste gevallen wordt het certificaat onmiddellijk na de CAA-controle aangevraagd, maar de uitslag van die controle blijft 30 dagen geldig. De regels schrijven ook voor dat er een hercontrole moet plaatsvinden uiterlijk 8 uur voor de uitgifte van een nieuw certificaat (d.w.z. als er meer dan 8 uur zijn verstreken sinds de laatste controle bij het aanvragen van een nieuw certificaat, is er een hercontrole vereist).
De fout doet zich voor als de certificaataanvraag meerdere domeinnamen omvat, waarvoor elk een controle van de CAA-record vereist. De essentie van de fout is dat tijdens de hercontrole, in plaats van alle domeinen te valideren, alleen één domein uit de lijst hercontrole werd uitgevoerd (als er N domeinen in de aanvraag waren, werd één domein N keer gecontroleerd in plaats van N verschillende controles). Voor de andere domeinen vond geen hercontrole plaats, en bij het nemen van een besluit werden de gegevens van de eerste controle gebruikt (d.w.z. gegevens die tot 30 dagen oud zijn). Als gevolg hiervan kon Let’s Encrypt binnen 30 dagen na de eerste controle een certificaat uitgeven, zelfs als de waarde van het CAA-record was gewijzigd en Let’s Encrypt uit de lijst van toegestane certificeringsinstanties was verwijderd.
Gebruikers die met het probleem te maken hebben, hebben een e-mailmelding ontvangen als de contactgegevens tijdens het verkrijgen van het certificaat zijn ingevuld. Controleer uw certificaten door te uploaden de serienummers van ingetrokken certificaten of gebruik te maken van (gehost op een IP-adres, door de Russische toezichthouder Roskomnadzor). Om het serienummer van het certificaat voor het betreffende domein te achterhalen, kan men de volgende opdracht gebruiken:
openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
Bron: opennet.ru
