Neprofitni certifikacijski organ Let’s Encrypt, koji upravlja zajednica i nudi certifikate besplatno svim zainteresiranim stranama, na predstojeće povlačenje mnogih prethodno izdanih TLS/SSL certifikata. Od 116 milijuna trenutno aktivnih certifikata Let’s Encrypt bit će povučeno nešto više od 3 milijuna (2,6%), od kojih je otprilike 1 milijun dupliciranih, vezanih za jednu domenu (greška je uglavnom pogodila vrlo često ažurirane certifikate, pa tako ima mnogo duplicata). Povlačenje je zakazano za 4. ožujka (točno vrijeme još nije određeno, ali povlačenje će se izvršiti najranije u 3 ujutro po MSK).
Potrebnost povlačenja proizašla je iz otkrivene 29. veljače . Problem se manifestira od 25. srpnja 2019. godine i pogađa sustav provjere CAA zapisa u DNS-u. CAA zapis (, Certificate Authority Authorization) omogućuje vlasniku domene da jasno odredi certifikacijski organ preko kojeg se mogu generirati certifikati za navedenu domenu. Ako certifikacijski organ nije naveden u CAA zapisima, obvezan je blokirati izdavanje certifikata za tu domenu i obavijestiti vlasnika domene o pokušajima kompromitacije. U većini slučajeva certifikat se zahtijeva odmah nakon prolaska provjere CAA, ali rezultat provjere smatra se važećim još 30 dana. Pravila također propisuju da se mora izvršiti ponovna provjera najkasnije 8 sati prije izdavanja novog certifikata (tj. ako je od prošle provjere proteklo 8 sati prilikom zahtjeva za novim certifikatom, potrebna je ponovna provjera).
Napaka se pojavi, če zahteva za potrdilo zajema več domen, za katere je potrebna preveritev zapisa CAA. Bistvo napake je v tem, da je ob ponovni preveritvi namesto validacije vseh domen potekla ponovna preveritev samo ene domene s seznama (če je bilo v zahtevku N domen, je bila ena domena preverjena N-krat). Za preostale domene ponovna preveritev ni bila izvedena in pri sprejemanju odločitve so bili uporabljeni podatki prvega preverjanja (tj. uporabljeni so bili podatki, stari do 30 dni). Kot posledica tega je v 30 dneh po prvem preverjanju Let’s Encrypt lahko izdal potrdilo, tudi če se je vrednost zapisa CAA spremenila in je bil Let’s Encrypt odstranjen s seznama dovoljenih overiteljev.
Uporabniki, ki so bili izpostavljeni težavi, so prejeli obvestilo po elektronski pošti, če so ob prejemu potrdila izpolnili kontaktne podatke. Svoje certifikate lahko preverite s prenosom serijskih številk umaknjenih potrdil ali z uporabo (ki je obrisana na IP naslovu, v RF s strani Roskomnadzorja). Serijsko številko potrdila za želeno domeno lahko izveste s pomočjo ukaza:
openssl s_client -connect example.com:443 -showcerts /dev/null \
| openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
Izvor: opennet.ru
