Небольшая заметка о том, как можно быстро и просто автоматизировать работу с Let's Encrypt сертификатами на сервере с помощью утилиты dehydrated.

📗 Открыть на сайте

#dehydrated #ssl #letsencrypt

На HN появился занятный тред об уязвимости в сервисе Let's Encrypt, из-за которой сервису пришлось отключить способ проверки владения доменом с помощью TLS-SNI-01. Альтернативные методы (http и dns) продолжают работать в обычном режиме. Подробностей в блоге, твиттере или ещё где-то, где LE обычно публикует сообщения, пока что нет.

Тред на HN:
https://news.ycombinator.com/item?id=16112894

status.io:
https://letsencrypt.status.io/pages/incident/55957a99e800baa4470002da/5a55777ed9a9c1024c00b241

OpenNET:
http://www.opennet.ru/opennews/art.shtml?num=47882

#security #ssl #letsencrypt

К слову, история получила продолжение.

https://community.letsencrypt.org/t/2018-01-09-issue-with-tls-sni-01-and-shared-hosting-infrastructure/49996/5

Для начала, Let's Encrypt раскрыли информацию об уязвимости в методе проверки. Ей были подвержены хосты, на которых совпадали два условия:

- В рамках одного IP адреса размещается большое количество доменов.
- На хостинге доступна загрузка сертификата для произвольного домена без подтверждения прав на него.

Что происходило дальше, думаю, вполне понятно - злоумышленник, воспользовавшись подтверждением TLS-SNI-01 мог получить сертификат для домена, контроля над которым он не имеет. Для части провайдеров, у которых описанных выше проблем нет, TLS-SNI-01 в работу вернули, однако для новых аккаунтов этот метод отключен. Актуальная информация и некоторые итоги по инциденту собраны в отдельном посте:

https://community.letsencrypt.org/t/2018-01-11-update-regarding-acme-tls-sni-and-shared-hosting-infrastructure/50188

А вот здесь, разработчики certbot'а приглашают всех к участию в тестировании новой версии утилиты:

https://community.letsencrypt.org/t/help-test-certbot-apache-and-nginx-fixes-for-tls-sni-01-outage/50207

Обязательно загляните, если certbot'ом пользуетесь и LE в работе используете.

#letsencrypt #certbot #security

🔐 Let's encrypt wildcard.

Вот вы тут сидите, а LE анонсировал таки возможность выписки wildcard сертификатов.

Вот сюда можно сходить за подробностями:

https://community.letsencrypt.org/t/acme-v2-and-wildcard-certificate-support-is-live/55579

#ssl #letsencrypt

⏱ Хороший разбор того, как можно настроить перевыпуск сертификатов по крону: https://corpglory.com/s/cron-https/

#фидбечат #ssl #letsencrypt

🤖 И да, тут начались некоторые споры по поводу того, какой бинарник для let's encrypt/certbot брать и где. Есть хороший сайт, на котором сразу же можно получить нужные рекомендации под конкретный софт конкретной ОС: https://certbot.eff.org/instructions Возьмите на заметку, если ещё не знали о нём раньше.

#letsencrypt #certbot

🔓 Итак, у Let's encrypt обнаружили баг, который проявлял себя в процессе проверки CAA, во время выпуска сертификата. Баг нашёлся, оказался исправлен, но есть некоторое количество сертификатов, которые будут вот-вот отозваны.

• Подробности описаны здесь и здесь, на форуме.
• Проверить свой сертификат и домен на необходмиость перевыпуска можно здесь.
• Примерное "письмо счастья", которое может прийти по этому поводу, есть у коллеги на канале.

Кому не повезло - обязательно займитесь обновлением.

#letsencrypt #ssl #security