Neziskový certifikačný úrad Let’s Encrypt, ovládaný komunitou a poskytujúci certifikáty bezplatne všetkým záujemcom, oznámil predčasné odvolanie približne dvoch miliónov TLS certifikátov, čo predstavuje približne 1% zo všetkých aktívnych certifikátov tohto certifikačného úradu. Odvolanie certifikátov bolo iniciované z dôvodu zistenia nesúladov s požiadavkami špecifikácie v kóde používanom v Let’s Encrypt, týkajúcich sa implementácie rozšírenia TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation). Nesúlad bol spojený s absenciou niektorých kontrol vykonávaných počas negociácie pripojení založených na TLS rozšírení ALPN, ktoré sa používa v HTTP/2. Podrobné informácie o incidente budú zverejnené po ukončení odvolania problémových certifikátov.
26. januára o 03:48 (MSK) bola chyba odstránená, ale všetky certifikáty, pri ktorých vydaní bol na overenie použitý spôsob TLS-ALPN-01, budú uznané za neplatné. Odvolanie certifikátov začne 28. januára o 19:00 (MSK). Do tohto času sa odporúča používateľom, ktorí používajú metódu overovania TLS-ALPN-01, aby si stihli aktualizovať svoje certifikáty, inak budú predčasne uznané za neplatné.
Príslušné oznámenia o potrebe aktualizácie certifikátov boli zaslané na email. Používateľov, ktorí využívajú nástroje Certbot a dehydrated na získanie certifikátu, sa problém netýkal pri použití predvolených nastavení. Metóda TLS-ALPN-01 je podporovaná v balíkoch Caddy, Traefik, apache mod_md a autocert. Správnosť svojich certifikátov si môžete overiť prostredníctvom vyhľadávania identifikátorov, sériových čísel alebo domén v zozname problémových certifikátov.
Keďže zmeny ovplyvňujú správanie pri overovaní metódou TLS-ALPN-01, môže byť potrebné aktualizovať ACME klienta alebo zmeniť nastavenia (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik). Zmeny sa týkajú používania verzií TLS minimálne 1.2 (klienti už nebudú môcť používať TLS 1.1) a ukončenia podpory OID 1.3.6.1.5.5.7.1.30.1, identifikujúcej zastarané rozšírenie acmeIdentifier, ktoré bolo podporované iba v raných konceptoch špecifikácie RFC 8737 (pri vytváraní certifikátu je teraz povolené len OID 1.3.6.1.5.5.7.1.31, a klienti používajúci OID 1.3.6.1.5.5.7.1.30.1 nebudú môcť získať certifikát).
Zdroj: opennet.ru
