LetsEncrypt planerar att återkalla sina certifikat på grund av ett programvarufel.

Företaget LetsEncrypt, som erbjuder gratis ssl-certifikat för kryptering, tvingas återkalla vissa certifikat.

Problemet är relaterat till ett programfel i mjukvaran Boulder, som används för att bygga CA. Vanligtvis sker kontrollen av DNS-posten CAA samtidigt med bekräftelsen av domänägandet, och de flesta abonnenter får certifikatet omedelbart efter kontrollen. Men mjukvaruutvecklarna gjorde det så att resultatet av kontrollen anses vara godkänt under de nästkommande 30 dagarna. I vissa fall kan kontroller göras en andra gång, precis innan certifikatet utfärdas; specifikt behövs en omkontroll av CAA inom 8 timmar före utfärdandet, så alla domäner som kontrollerades tidigare än denna tidsram måste kontrolleras på nytt.

Vad består felet av? Om begäran om certifikat innehåller N domäner som kräver omkontroll av CAA — valde Boulder en av dem och kontrollerade den N gånger. Som ett resultat fanns möjligheten att utfärda ett certifikat, även om en CAA-post som förbjöd utfärdandet av LetsEncrypt-certifikat skulle ställas in senare (inom X+30 dagar).

För att kontrollera certifikaten har företaget förberett ett onlineverktyg, som visar en detaljerad rapport.

Avancerade användare kan göra allt själva med följande kommandon:

# проверка https
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# вариант проверки от @simpleadmin 
echo | openssl s_client -connect example.com:443 |& openssl x509 -noout -serial
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:25 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:587 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:143 -starttls imap -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:993 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial Number | tr -d :
# в принципе аналогично проверяются и другие сервисы

Därefter ska man kontrollera här sitt serienummer, och om det finns på listan — rekommenderas det att uppdatera certifikatet/erna.

För att uppdatera certifikaten kan man använda certbot:

certbot renew --force-renewal

Problemet upptäcktes redan den 29 februari 2020; för att lösa problemet pausades utfärdandet av certifikat från 3:10 UTC till 5:22 UTC. Enligt en intern utredning infördes felet den 25 juli 2019; företaget kommer att ge en mer detaljerad rapport senare.

UPD: online-tjänsten för certifikatskontroll kan ha problem att fungera med ryska ip-adresser.

Källa: habr.com