A autoridade certificadora sem fins lucrativos Let's Encrypt, controlada pela comunidade e que oferece certificados gratuitamente a todos que desejam, sobre a revogação iminente de muitos certificados TLS/SSL já emitidos. Dos 116 milhões de certificados atualmente ativos, um pouco mais de 3 milhões (2,6%) do Let's Encrypt serão revogados, dos quais cerca de 1 milhão são duplicatas associadas a um único domínio (o erro atingiu principalmente os certificados que são frequentemente atualizados, resultando assim em tantas duplicatas). A revogação está agendada para 4 de março (o horário exato ainda não foi determinado, mas a revogação não ocorrerá antes das 3 da manhã, horário de Moscovo).
A necessidade da revogação é decorrente de um erro identificado em 29 de fevereiro . O problema se manifestou desde 25 de julho de 2019 e afeta o sistema de verificação de registros CAA no DNS. O registro CAA (, Certificate Authority Authorization) permite que o proprietário do domínio defina explicitamente a autoridade certificadora através da qual os certificados para o domínio indicado podem ser gerados. Se a autoridade certificadora não estiver listada nos registros CAA, ela deve bloquear a emissão de certificados para aquele domínio e informar o proprietário sobre tentativas de comprometimento. Na maioria dos casos, o certificado é solicitado imediatamente após a verificação CAA, mas o resultado da verificação é considerado válido por mais 30 dias. As regras também exigem que uma nova verificação seja realizada no máximo 8 horas antes da emissão de um novo certificado (ou seja, se ao solicitar um novo certificado já tiver passado 8 horas desde a última verificação, uma nova verificação é necessária).
O erro ocorre se o pedido de certificado abrange vários nomes de domínio, para os quais é necessária a verificação do registro CAA. A essência do erro é que no momento da nova verificação, em vez de validar todos os domínios, apenas um domínio da lista foi verificado novamente (se na solicitação havia N domínios, ao invés de N verificações distintas, um domínio foi verificado N vezes). Para os outros domínios, a nova verificação não foi realizada e, na hora da decisão, foram utilizados os dados da primeira verificação (ou seja, utilizaram-se dados com até 30 dias). Como consequência, durante 30 dias após a primeira verificação, o Let's Encrypt poderia ter emitido um certificado, mesmo que o valor do registro CAA tivesse sido alterado e o Let's Encrypt tivesse sido removido da lista de autoridades certificadoras permitidas.
Os usuários afetados foram notificados por e-mail, caso tenham preenchido os dados de contato ao receber o certificado. Você pode verificar seus certificados fazendo o download dos números de série dos certificados revogados ou utilizando (hospedado no endereço IP, pelo Roskomnadzor na Rússia). Para descobrir o número de série do certificado para o domínio desejado, você pode usar o comando:
openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
Fonte: opennet.ru
