Nekomerčný certifikačný orgán Let’s Encrypt, riadený komunitou, poskytujúci certifikáty bezplatne všetkým záujemcom, o nadchádzajúcom odňatí mnohých predtým vydaných certifikátov TLS/SSL. Z 116 miliónov aktuálne platných certifikátov Let’s Encrypt bude odňatých niečo vyše 3 milióny (2,6%), z ktorých približne 1 milión sú duplicitné, priradené k jednému doménu (chyba sa väčšinou týkala veľmi často obnovovaných certifikátov, preto je toľko duplicitov). Odňatie je naplánované na 4. marca (presný čas zatiaľ nie je určený, ale odňatie sa uskutoční najskôr o 3. ráno MSK).
Potreba odňatia je spôsobená zistenou dňa 29. februára . Problém sa prejavuje od 25. júla 2019 a týka sa systému kontroly záznamov CAA v DNS. Záznam CAA (, Certificate Authority Authorization) umožňuje majiteľovi domény jasne určiť certifikačný orgán, cez ktorý môžu byť generované certifikáty pre uvedenú doménu. Ak certifikačný orgán nie je uvedený v záznamoch CAA, má povinnosť zablokovať vydanie certifikátov pre túto doménu a informovať majiteľa domény o pokusoch o kompromitáciu. V drvivej väčšine prípadov je certifikát žiadaný hneď po úspešnej kontrole CAA, ale výsledok kontroly sa považuje za platný ešte 30 dní. Pravidlá tiež predpisujú, že opätovná kontrola musí byť vykonaná najneskôr 8 hodín pred vydaním nového certifikátu (t.j. ak pri žiadosti o nový certifikát uplynulo od poslednej kontroly 8 hodín, vyžaduje sa opätovná kontrola).
Chyba sa prejaví, ak žiadosť o certifikát zasahuje do viacerých domén, pre ktoré je potrebná kontrola záznamu CAA. Podstata chyby spočíva v tom, že pri opätovnej kontrole sa namiesto validácie všetkých domén uskutočnila opätovná kontrola len jednej domény zo zoznamu (ak v žiadosti bolo N domén, namiesto N rôznych kontrol sa jedna doména kontrolovala N-krát). Pre ostatné domény sa opätovná kontrola nevykonala a pri rozhodovaní sa použili údaje z prvej kontroly (t.j. použili sa údaje staré až 30 dní). V dôsledku toho mohla Let’s Encrypt vydávať certifikát až 30 dní po prvej kontrole, aj keď sa hodnota záznamu CAA zmenila a Let’s Encrypt bola odstránená zo zoznamu povolených certifikačných autorít.
Používateľom, ktorých sa problém týka, bolo zaslané upozornenie na email, ak pri získavaní certifikátu boli vyplnené kontaktné údaje. Svoje certifikáty si môžete skontrolovať nahratím sériových čísel odobraných certifikátov alebo využitím (umiestnenej na IP adrese, v RF Roskomnadzorom). Sériové číslo certifikátu pre zaujímavú doménu môžete zistiť pomocou príkazu:
openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
Zdroj: opennet.ru
