LetsEncrypt plánuje odvolať svoje certifikáty kvôli softvérovej chybe

Spoločnosť LetsEncrypt, ktorá ponúka bezplatné SSL certifikáty na šifrovanie, je nútená anulovať niektoré certifikáty.

Problém súvisí s programovou chybou v správcovskom softvéri Boulder, používanom na vytváranie CA. Obvykle sa kontrola DNS záznamu CAA vykonáva súčasne s potvrdením vlastníctva domény, a väčšina predplatiteľov dostáva certifikát okamžite po kontrole, no vývojári softvéru sa rozhodli, že výsledok kontroly je považovaný za platný ešte nasledujúcich 30 dní. V niektorých prípadoch je možné kontrolovať záznamy druhýkrát, tesne pred vydaním certifikátu, konkrétne je potrebná opätovná kontrola CAA do 8 hodín pred vydaním, preto každý doménový záznam skontrolovaný pred týmto termínom musí byť overený znova.

V čom spočíva chyba? Ak žiadosť o certifikát obsahuje N domén, ktoré vyžadujú opätovnú kontrolu CAA – Boulder vybral jednu z nich a kontroloval ju N-krát. V dôsledku toho existovala možnosť vydania certifikátu, aj keby sa potom (do X+30 dní) nastavil záznam CAA, ktorý zakazuje vydanie certifikátu LetsEncrypt.

Na kontrolu certifikátov spoločnosť pripravila online nástroj, ktorý zobrazí podrobnú správu.

Pokročilí používatelia môžu všetko urobiť sami pomocou nasledujúcich príkazov:

# проверка https
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# вариант проверки от @simpleadmin 
echo | openssl s_client -connect example.com:443 |& openssl x509 -noout -serial
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:25 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:587 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:143 -starttls imap -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:993 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# в принципе аналогично проверяются и другие сервисы

Ďalej je potrebné skontrolovať tu svoje sériové číslo, a ak je v zozname – odporúča sa aktualizovať certifikát(y).

Na aktualizáciu certifikátov môžete využiť certbot:

certbot renew --force-renewal

Problém bol nájdený už 29. februára 2020. Na vyriešenie problému bol zastavený vydávanie certifikátov od 3:10 UTC do 5:22 UTC. Podľa interného vyšetrovania bola chyba zavedená 25. júla 2019, podrobnejšiu správu spoločnosť poskytne neskôr.

UPD: online služba na kontrolu certifikátov nemusí fungovať z ruských IP adries.

Zdroj: habr.com