BLOGTIMES
« :: »
2022/01/29

Let's Encrypt 証明書の失効に注意

  letsencrypt  ssl 
このエントリーをはてなブックマークに追加

Let's Encrypt から発光された証明書の一部が誤発行により強制的に失効させられていたようなのでメモ。
無効化の対象になっているのは TLS-ALPN-01 で発行された証明書だけです。

certbot などを使っている場合にはチャレンジのタイプはHTTP-01で、その他の方法を使っている人はあまりいない（というか、自分でチャレンジ方法を意識しないと使う事ができない）ので、TLS-ALPN-01という単語を聞いてもピンと来ない人には関連がないと思います。

TLS-ALPN-01は、仕様に問題があるとされたTLS-SNI-01の代替だったはずですが、やはりいろいろと難しいみたいですね。

Let's Encrypt証明書、誤発行発覚で約1％が1月28日失効 - 確認と更新を | TECH+

影響を受けるとされるのはTLS-ALPN-01検証方式を使ってLet's Encryptから発行されたTLS証明書。この検証方法の実装に仕様違反があることが明らかになり、2022年1月26日(協定世界時) 00:48よりも前にTLS-ALPN-01チャレンジで発行および検証されたすべての証明書が「誤発行」だったと見なすとのことだ。5日間の猶予を経た後、2022年1月28日(協定世界時) 16:00から順次証明書の失効手続きを開始すると説明している。

† 参考


    by hsur at 20:02 [5年前][4年前][3年前][2年前][1年前] |
    こんな記事もあります 「TLS-SNI-01 mis-issued certificates」
    ・SSL 証明書の発行履歴を調べる
    ・Let's Encrypt を使っている場合には OpenSSL のバージョンに注意
    ・Let's Encrypt が不具合のある 300 万件の証明書を失効させる
    ・TLSv1.0 → TLSv1.2 変換を squid でやってみる
    ・SSL 証明書が Chrome に警告されていませんか？
    ・MS も WoSign と StartCom の証明書を無効化へ
    ・WoSign の証明書、Chrome 61 から無効に
    ・Let's Encrypt でワイルドカード証明書が発行されるようになる
    ・PacketiX VPN のスマートカード認証に YubiKey 4 Nano を使う
    ・dehydrated をつかって Let's Encript の証明書を取得（http-01編）
    トラックバックについて
    Trackback URL:
    お気軽にどうぞ。トラックバック前にポリシーをお読みください。[policy]
    このエントリへのTrackbackにはこのURLが必要です→https://blog.cles.jp/item/13017
    Trackbacks
    このエントリにトラックバックはありません
    Comments
    愛のあるツッコミをお気軽にどうぞ。[policy]
    古いエントリについてはコメント制御しているため、即時に反映されないことがあります。
    コメントはありません
    Comments Form

    コメントは承認後の表示となります。
    OpenIDでログインすると、即時に公開されます。

    OpenID を使ってログインすることができます。

    Identity URL: Yahoo! JAPAN IDでログイン

    « :: »
    Copyright © 2004-2022 by CLES All Rights Reserved.