Lets Encrypt Thu Hồi Hơn 3 Triệu Chứng chỉ SSL

Các nhà phát triển Encrypt đã cảnh báo rằng ngày 4 tháng 3 năm 2020, họ sẽ buộc phải thu hồi 3.048.289 chứng chỉ. Đó là tất cả về lỗi trong phần mềm quản lý Boulder, được sử dụng để kiểm tra người dùng và tên miền của họ trước khi cấp chứng chỉ.
Để hiểu vấn đề, bạn cần hiểu tiêu chuẩn CAA (Ủy quyền ủy quyền chứng chỉ) là gì. Nó đã được phê duyệt trở lại vào năm 2017 và cho phép chủ sở hữu tên miền cấm các cơ quan chứng nhận cấp giấy chứng nhận cho tên miền của họ. Trên thực tế, chủ sở hữu tên miền có thể thêm trường CAA đặc biệt (trường CAA) trong DNS của miền của họ và chỉ có cơ quan chứng nhận được chỉ định trong trường này mới có thể cấp chứng chỉ cho miền. Tất cả các cơ quan chứng nhận (bao gồm cả Let Encrypt) phải tuân theo CAA theo thư của luật, nếu không họ sẽ phải đối mặt với các khoản phạt nghiêm trọng.

Vào ngày 29 tháng 2 năm 2020, người ta biết rằng lỗi trong mã Boulder liên quan đến việc triển khai CAA đã xuất hiện vào mùa hè năm 2019 và đôi khi buộc bỏ qua xác minh CAA.

Nếu yêu cầu chứng chỉ chứa N tên miền yêu cầu xác minh lại CAA, Boulder đã chọn một tên miền và kiểm tra N lần. Trên thực tế, nếu người đăng ký xác thực tên miền theo thời gian X, bản ghi CAA cho tên miền này cho phép chúng tôi cấp chứng chỉ Mã hóa trong thời gian X. Nhưng người đăng ký có thể nhận được chứng chỉ chứa tên miền này trong khoảng thời gian X + 30 ngày, ngay cả sau này trên tên miền này bản ghi CAA đã được đặt cho tên, cấm phát hành chứng chỉ Let Encrypt, các nhà phát triển giải thích Let Encrypt.

Nhấn để mở rộng...

Cuối tuần trước, lỗi đã được sửa và bây giờ Boulder kiểm tra trường CAA chính xác. Các kỹ sư của Encrypt viết rằng, theo dữ liệu của họ, không ai có thời gian để lạm dụng vấn đề. Tuy nhiên, cơ quan chứng nhận buộc phải thu hồi tất cả các chứng chỉ được cấp vi phạm kiểm toán CAA theo quy định của ngành.
Trên thực tế, trong số tất cả 116.000.000 chứng chỉ hiện đang hoạt động, chỉ có 2,6% bị ảnh hưởng bởi vấn đề này. Như đã đề cập ở trên, đây là 3.048.289 chứng chỉ. Khoảng một triệu trong số chúng là các bản sao cho cùng một tên miền và tên miền phụ, nghĩa là, số chứng chỉ thực tế bị ảnh hưởng bởi sự cố là khoảng 2.000.000.
Hãy mã hóa đã thông báo cho tất cả nạn nhân qua email. Ngoài ra, bạn có thể xác minh chứng chỉ của mình bằng một dịch vụ đặc biệt hoặc dựa vào số sê-ri của chứng chỉ sự cố (chi tiết được công bố trên trang đặc biệt này ).

3 triệu chứng chỉ Bảo mật Lớp Giao thông (TLS) do Let Encrypt cấp sẽ bị Cơ quan Chứng nhận (CAA) thu hồi do lỗi Ủy quyền.