Nekomercijski certifikacijski centar Let’s Encrypt, koji je pod kontrolom zajednice i nudi certifikate besplatno svima željnima, objavio je da povlači oko dva miliona TLS certifikata, što čini oko 1% svih aktivnih certifikata ovog certifikacijskog centra. Povlačenje certifikata iniciirano je zbog otkrivanja nesukladnosti sa zahtjevima specifikacije u kodu koji se koristi u Let’s Encrypt za implementaciju proširenja TLS-ALPN-01 (RFC 7301, pregovaranje protokola na aplikacijskom sloju). Nesukladnost je bila povezana s nedostatkom određenih provjera koje se izvode tijekom usklađivanja veza temeljenih na TLS proširenju ALPN, korištenom u HTTP/2. Detaljne informacije o incidentu bit će objavljene nakon završetka povlačenja problematičnih certifikata.
26. siječnja u 03:48 (MSK) problem je riješen, ali svi certifikati za koje je u verifikaciji korištena metoda TLS-ALPN-01 odlučeno je proglasiti nevažećima. Povlačenje certifikata započet će 28. siječnja u 19:00 (MSK). Do tog vremena, korisnicima koji koriste metodu provjere TLS-ALPN-01 preporučuje se da obnove svoje certifikate, inače će biti unaprijed proglašeni nevažećima.
Odgovarajuće obavijesti o potrebi obnavljanja certifikata poslane su na email. Korisnike koji koriste alate Certbot i dehydrated za dobivanje certifikata, uz korištenje zadatih postavki, problem nije zahvatio. Metoda TLS-ALPN-01 podržava se u paketima Caddy, Traefik, apache mod_md i autocert. Ispravnost svojih certifikata možete provjeriti putem pretraživanja identifikatora, serijskih brojeva ili domena na listi problematičnih certifikata.
Budući da se promjene odnose na ponašanje tijekom provjere metodom TLS-ALPN-01, za nastavak rada može biti potrebno ažuriranje ACME klijenta ili promjena postavki (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik). Promjene se svode na korištenje verzija TLS ne nižih od 1.2 (klijenti sada neće moći koristiti TLS 1.1) i prestanak podrške za OID 1.3.6.1.5.5.7.1.30.1, koji identificira zastarjelo proširenje acmeIdentifier, podržavano samo u ranim nacrtima specifikacije RFC 8737 (pri formiranju certifikata sada je dopušten samo OID 1.3.6.1.5.5.7.1.31, a klijenti koji koriste OID 1.3.6.1.5.5.7.1.30.1 neće moći dobiti certifikat).
Izvor: opennet.ru
