Let's Encrypt决定吊销300多万张证书!
公益型数字证书颁发机构(CA) Let's Encrypt 不久前宣布,于(世界标准时间UTC)3月4日起撤销3,048,289张有效SSL/TLS 证书,并向受影响的客户发邮件告知,以便其及时更新。为避免用户业务中断,Let's Encrypt 建议用户在3月4日前更换受影响的证书,否则网站访客会看到一个与证书失效有关的安全警告。
由于事发的突然性和时区问题,以及因为免费证书导致本身服务能力较弱,Let's Encrypt只给一些公司不到2小时的通知,仅通知到其中极少部分的用户。
据统计,由于过期证书而导致的意外业务中断可能造成的损失超过1100万美元,对于那些不知道自己因无法预计的原因而经历业务中断的企业将会造成巨大损失!
Let's Encrypt 在邮件中写道:很遗憾,这意味着我们需要撤销受此错误影响的一批证书,其中包括您的一个或多个证书。因此造成的不便,我们深表歉意。
如果客户无法在证书被吊销(3月4日)前更新,网站访客将看到安全警告,直到证书再次更新。新证书的续签流程,可以在 ACME 文档中找到。
证书吊销事件起因:CAA验证Bug
CAA是一种 DNS 记录,它允许站点所有者指定允许证书颁发机构(CA)颁发包含其域名的证书。该记录在 2013 年由 RFC 6844 标准化,以允许 CA “降低意外颁发证书的风险”。默认情况下,每个公共 CA 在验证申请者的域名控制权后可以为任何在公共 DNS 中的域名颁发证书。这意味着如果某个CA的验证流程出现错误,所有域名都有可能受到影响。CAA记录为域名持有者提供了降低这类风险的方法。
CA签发证书的时候,会去查询和验证CAA记录,用以确认自己是否有资格为该域名颁发证书。这个查询验证结果按照规范只有8小时的有效期,如果超过8小时需要重新查询和验证。
2月底的时候,Let’s Encrypt发现其证书颁发机构(CA)中的软件(称为Boulder)存在CAA验证漏洞。Boulder中的漏洞导致多域证书中的一个域被验证多次CAA,而不是证书中的所有域都被验证一次CAA。这意味着,该漏洞造成部分证书在签发前没有按照规范去验证CAA。因此,对于这批证书 Let's Encrypt 会强制将其吊销。
安全专家警告说:此次漏洞可能为恶意攻击者打开控制网站上TLS证书的门,从而使黑客能够窃听网络流量并收集敏感数据。
例如:黑客可以通过 DNS劫持签发domain.com的 DV证书,并且顺利的利用浏览器安全提示,从而实现钓鱼网站,窃取用户的账号,密码等重要信息资料。
-
由于根证书故障 Let's Encrypt证书转换将在2021年发生问题
Let's Encrypt宣布,其服务使用的一个由IdenTrust提供的根证书将于2021年9月1日到期。Let's Encrypt用自己的名为ISRG Root X1的根证书为到期
[广告]赞助链接:
关注数据与安全,洞悉企业级服务市场:https://www.ijiandao.com/
让资讯触达的更精准有趣:https://www.0xu.cn/
随时掌握互联网精彩
- 新年伊始,前程尽是花路
- 16.5亿欧元!创纪录的GDPR罚款
- Win-Win华为创新周丨精彩议程不容错过!
- 程序员如何确保软件没 Bug?
- 近7成开发者无开源收入、最想操作系统开源、Java最受欢迎 | 揭晓中国开源开发者现状
- 雷军再失猛将,小米12号创始员工李伟星离职,曾一起喝粥创立小米;英特尔54亿美元收购Tower半导体|极客头条
- 有碍→有爱,他们都找回了失去的光和声
- 勒索软件团伙在攻击警察局后主动提供解密器
- 雷军吐槽友商“PPT首发”,联想高管反击;iPhone 6 Plus成过时产品;IPython 7.30正式发布|极客头条
- 敢想旅行社出发在即,目的地:2021骁龙技术峰会
- 前蚂蚁架构师:想学Java拿高薪,这2个技巧千万别搞错!
- 大数据与AI技术实践|Open Talk杭州站开始报名