В Let's Encrypt нашли баг, Сертификаты TLS/SSL, их нужно обновить до 4 марта 2020 года Опции

[Console]

В Let's Encrypt нашли баг, отзываются ранее выданные сертификаты TLS/SSL, их нужно обновить до 4 марта 2020 года

Проблема связана с программной ошибкой в управляющем ПО Boulder, применяемом для построения CA.

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

Обычно проверка DNS записи CAA происходит одновременно с подтверждением владения доменом, а большинство подписчиков получают сертификат сразу же после проверки, но разработчики ПО сделали так, что результат проверки считается пройденным еще в течение следующих 30 дней. В некоторых случаях можно проверять записи второй раз, непосредственно перед выдачей сертификата, в частности нужна повторная проверка CAA в течение 8 часов до выдачи, поэтому любой домен, проверенный ранее этого срока, должен проверяться повторно.

В чем же заключается ошибка? Если запрос на сертификат содержит N доменов, требующих повторной проверки CAA — Boulder выбирал один из них и проверял его N раз. В результате существовала возможность выдачи сертификата, даже если потом (до X+30 дней) установить запись CAA, запрещающую выдачу сертификата LetsEncrypt.

Можно руцями проверить...

CODE Format

# проверка https
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:25 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
# проверка почтового сервера, протокол SMTP
openssl s_client -connect example.com:587 -starttls smtp -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:143 -starttls imap -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
# проверка почтового сервера, протокол IMAP
openssl s_client -connect example.com:993 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | grep -A 1 Serial\ Number | tr -d :
# в принципе аналогично проверяются и другие сервисы

По мотивам _https://habr.com/ru/news/t/490866/

[gx_ua]

чем это критично?

[Console]

чем это критично?

Если я правильно понял, коснется сертификатов с под доменными именами, игнорировался запрет на выдачу уже выданного сертификата. Вроде так.
Проблема вроде в том что при пере выдаче можно было по сути пере застолбить доменное имя что-ли...

Сообщение отредактировал Console - Mar 3 2020, 18:39

[Cilantiy]

чем это критично?

Тем, кому пришли письма надо обновить сертификаты.
Если они до завтра (4 марта) не обновят - они будут отозваны.
Браузера уже просто так не пустит на сайт.

[gx_ua]

для Cpanel/DirectAdmin/ISP5/VestaCP есть рабочие команды, которыми можно сразу обновить все сертификаты Let's Encrypt:)

[KoNoRIMCI]

Let's Encrypt отзовет около 2 млн сертификатов 28 января

Поставщик сертификатов HTTPS Let’s Encrypt планирует отозвать около 2 млн SSL/TLS-сертификатов 28 января, поскольку они были выпущены ненадлежащим образом.

Читать полностью...