Let's Encrypt是一家由社群控制、向所有人免費提供證書的非營利證書頒發機構，宣布提前撤銷約1萬張TLS證書，約佔該證書頒發機構所有活躍證書的01%。 由於實施了 TLS-ALPN-7301 擴充（RFC 2，應用層協定協商），Let's Encrypt 中使用的程式碼不符合規範要求，因此啟動了憑證撤銷。 差異是由於在連線協商過程中缺少基於 HTTP/XNUMX 中使用的 ALPN TLS 擴充執行的一些檢查。 有關該事件的詳細資訊將在問題證書撤銷完成後公佈。
26 月 03 日 48:01（MSK）問題已解決，但所有使用 TLS-ALPN-28 方法進行驗證所頒發的憑證被決定作廢。 證書吊銷將於 19 月 00 日 01:XNUMX（MSK）開始。 在此之前，建議使用 TLS-ALPN-XNUMX 驗證方法的使用者更新其證書，否則證書將提前失效。
關於證書續期的通知已透過電子郵件發送。使用 Certbot 和 dehydrated 工具取得預設設定憑證的使用者不受此問題影響。 Caddy、Traefik、Apache mod_md 和 autocert 軟體包均支援 TLS-ALPN-01 方法。您可以透過搜尋識別碼、序號或憑證資訊來驗證憑證的有效性。 德奧梅諾夫 在問題證書清單中。
由於這些變更會影響使用 TLS-ALPN-01 方法進行檢查時的行為，因此可能需要更新 ACME 用戶端或變更設定（Caddy、bitnami/bn-cert、autocert、apache mod_md、Traefik）才能繼續運作。 這些變更包括使用不低於 1.2 的 TLS 版本（用戶端將不再能夠使用 TLS 1.1）以及停止支援 OID 1.3.6.1.5.5.7.1.30.1，該 OID 識別已過時的 acmeIdentifier 擴充，僅受支援在RFC 8737規範的早期草案中（產生憑證時，現在只允許OID 1.3.6.1.5.5.7.1.31，使用OID 1.3.6.1.5.5.7.1.30.1的用戶端將無法取得憑證）。
來源： opennet.ru
