LetsEncrypt planeja revogar seus certificados devido a um erro de software

A empresa LetsEncrypt, que oferece certificados SSL gratuitos para criptografia, é forçada a revogar alguns certificados.

O problema está relacionado a um erro de software no software de gerenciamento Boulder, utilizado para criar a CA. Normalmente, a verificação do registro DNS CAA ocorre simultaneamente à confirmação da propriedade do domínio, e a maioria dos assinantes recebe o certificado imediatamente após a verificação, mas os desenvolvedores do software fizeram com que o resultado da verificação fosse considerado válido ainda por mais 30 dias. Em alguns casos, é possível verificar os registros novamente, diretamente antes da emissão do certificado; em particular, uma nova verificação CAA é necessária 8 horas antes da emissão, portanto, qualquer domínio verificado antes desse prazo deve ser verificado novamente.

Qual é o erro? Se o pedido de certificado contém N domínios que exigem nova verificação CAA — Boulder selecionava um deles e o verificava N vezes. Como resultado, havia a possibilidade de emissão do certificado, mesmo que posteriormente (até X+30 dias) um registro CAA fosse instalado, proibindo a emissão do certificado LetsEncrypt.

Para verificar os certificados, a empresa preparou uma ferramenta online, que mostrará um relatório detalhado.

Usuários avançados podem fazer tudo sozinhos, usando os seguintes comandos:

# проверка https
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# вариант проверки от @simpleadmin 
echo | openssl s_client -connect example.com:443 |& openssl x509 -noout -serial
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:25 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:587 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:143 -starttls imap -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:993 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# в принципе аналогично проверяются и другие сервисы

Em seguida, você deve verificar aqui seu número de série, e se ele estiver na lista — é recomendável atualizar o(s) certificado(s).

Para atualizar os certificados, você pode usar o certbot:

certbot renew --force-renewal

O problema foi identificado em 29 de fevereiro de 2020; a emissão de certificados foi suspensa das 3:10 UTC até as 5:22 UTC. Uma investigação interna revelou que o erro foi introduzido em 25 de julho de 2019, e a empresa fornecerá um relatório mais detalhado posteriormente.

ATUALIZAÇÃO: o serviço online de verificação de certificados pode não funcionar com endereços IP russos.

Fonte: habr.com