Let’s Encrypt opoziva neke SSL sertifikate
Let’s Encrypt, neprofitna organizacija koja izdaje besplatne SSL/TLS sertifikate za web-sajtove, krenula je 28.01.2022. da opoziva veliki broj svojih sertifikata, jer su bili nepropisno izdati.
Kako su iz Let’s Encrypt-a objasnili, 25.01.2022. su otkrivene „dve nepravilnosti“ u kodu koji implementira metod validacije „TLS koristeći ALPN“ (BRs 3.2.2.4.20, RFC 8737 ) u Automatic Certificate Management (ACME) softveru.
Svi aktivni sertifikati koji su izdati i potvrđeni sa TLS-ALPN-01 pre 0048 UTC 26. januara 2022. kada je Let’ Encrypt primenio fix, smatraju se pogrešno izdatim i moraju biti zamenjeni.
Let’s Encrypt procenjuje da je pogođeno manje od jednog procenta aktivnih sertifikata, odnosno oko 2 miliona sertifikata, s obzirom na to da trenutno postoji oko 221 milion aktivnih sertifikata izdatih od strane Let’s Encypt-a.
Pogođeni korisnici sertifikata će biti obavešteni o opozivu putem e-mail-a (ako je dostavljen), a od tog trenutka će biti potrebno da obnove svoj sertifikat. Ipak, za svaki slučaj možete izvršiti dodatnu proveru na linku koji ćete pronaći na kraju ovog teksta.
Kako sve to funkcioniše?
Kada dobijete sertifikat od Let’s Encrypt, njihovi serveri pokušavaju da validiraju da li imate kontrolu nad relevantnim resursima, prezentovanjem challenge-a, prema ACME standardu.
Ovaj challenge se može sprovesti korišćenjem HTTP-a, DNS-a ili TLS-a, u zavisnosti od podešavanja na strani klijenta. Koncept je sličan slanju linka za verifikaciju e-mail-a na koju morate kliknuti da biste dovršili registraciju nekog naloga.
TLS-ALPN-01 challenge je dostupan za one koji ne mogu ili ne žele da koriste port 80 za HTTP-01 challenge.
Prema Let’s Encrypt, on je najprikladniji za autore TLS-terminating reverznih proksija koji žele da izvrše host-based proveru kao što je HTTP-01, ali žele da to urade u potpunosti na TLS layer-u.
Kako su iz Let’s Encrypt-a objasnili, napravljene su dve promene u verifikacionom kodu, koje utiču na klijentske aplikacije koje posebno koriste TLS-ALPN-01. Prvo, softver sada primarno koristi TLS 1.2 ili noviju verziju. Ranije je kod dozvoljavao uspostavljanje konekcije preko TLS 1.1, što se sada smatra nesigurnim.
Drugo, softver više ne podržava zastareli OID (Object Identifier) 1.3.6.1.5.5.7.1.30.1, koji je služio za identifikaciju ekstenzije „acmeIdentifier“ u ranim verzijama RFC 8737. Let’s Encrypt sada prihvata samo standardizovani OID 1.3.6.1.5.5.7.1.31.
Od sada pokušaji verifikacije sertifikata korišćenjem TLS 1.1 ili nepodržanim OID neće uspeti. Takvi sertifikati verifikovani preko TLS-ALPN-01 pod starim kodom nisu u skladu sa politikom Let’s Encrypt-a, pa iz tog razloga treba da budu ponovo izdati.
Proveru da li je i vaš sertifikat pogođen ovim problemom možete proveriti na Q&A stranici Let’s Encrypt-a, gde ćete naći još nekih korisnih informacija na ovu temu.
Nenad Mihajlović