Let's Encrypt, een non-profit certificeringsinstantie die wordt gecontroleerd door de gemeenschap en gratis certificaten aan iedereen verstrekt, heeft de vroegtijdige intrekking aangekondigd van ongeveer twee miljoen TLS-certificaten, wat ongeveer 1% is van alle actieve certificaten van deze certificeringsinstantie. De intrekking van certificaten werd gestart vanwege de identificatie van niet-naleving van specificatievereisten in de code die wordt gebruikt in Let's Encrypt met de implementatie van de TLS-ALPN-01-extensie (RFC 7301, Application-Layer Protocol Negotiation). Het verschil was te wijten aan het ontbreken van enkele controles die werden uitgevoerd tijdens het verbindingsonderhandelingsproces op basis van de ALPN TLS-extensie die wordt gebruikt in HTTP/2. Gedetailleerde informatie over het incident zal worden gepubliceerd nadat de intrekking van de problematische certificaten is voltooid.
Op 26 januari om 03:48 (MSK) werd het probleem opgelost, maar werd besloten dat alle certificaten die waren uitgegeven met behulp van de TLS-ALPN-01-methode voor verificatie ongeldig zijn gemaakt. Het intrekken van certificaten begint op 28 januari om 19 uur (MSK). Tot die tijd wordt gebruikers die de TLS-ALPN-00-verificatiemethode gebruiken geadviseerd om hun certificaten bij te werken, anders worden ze voortijdig ongeldig gemaakt.
Relevante meldingen over de noodzaak om certificaten bij te werken worden per e-mail verzonden. Gebruikers die de Certbot en gedehydrateerde tools gebruikten om een ββcertificaat te verkrijgen, ondervonden geen last van het probleem bij het gebruik van de standaardinstellingen. De TLS-ALPN-01-methode wordt ondersteund in de pakketten Caddy, Traefik, apache mod_md en autocert. U kunt de juistheid van uw certificaten controleren door te zoeken naar identificatiegegevens, serienummers of domeinen in de lijst met problematische certificaten.
Omdat de wijzigingen van invloed zijn op het gedrag bij het controleren met behulp van de TLS-ALPN-01-methode, kan het bijwerken van de ACME-client of het wijzigen van instellingen (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik) nodig zijn om te kunnen blijven werken. De wijzigingen omvatten het gebruik van TLS-versies niet lager dan 1.2 (clients kunnen TLS 1.1 niet langer gebruiken) en de afschaffing van OID 1.3.6.1.5.5.7.1.30.1, die de verouderde acmeIdentifier-extensie identificeert, die alleen werd ondersteund in eerdere versies concepten van de RFC 8737-specificatie (bij het genereren van een certificaat is nu alleen OID 1.3.6.1.5.5.7.1.31 toegestaan ββen kunnen clients die OID 1.3.6.1.5.5.7.1.30.1 gebruiken geen certificaat verkrijgen).
Bron: opennet.ru