Ücretsiz sertifika inisiyatifi Let’s Encrypt, önümüzdeki 24 saat içinde “Sertifika Yetkilisi yazılımındaki Certificate Authority software)” bir hata nedeniyle 3 milyon TLS’den fazla sertifikayı iptal edecek. Grup, hatanın Temmuz 2019’daki güncellemenin bir parçası olduğunu söyledi.
Let’s Encrypt projesinin geçen hafta yaptığı açıklamada, 2015’te piyasaya sürüldüğünden bu yana bir milyar ücretsiz TLS sertifikası verdiğini açıkladı [1].
Let’s Encrypt’in 29 Şubat’ta kabul ettiği [2] ve keşfedildikten iki saat sonra düzeltilen hata, yeni TLS sertifikaları vermeden önce alan adı sahipliğini kontrol etme şeklini etkiliyor. Hata, sahibinin bir alan adı üzerindeki denetimini yeterince doğrulamaksızın bile bir sertifikanın verilebileceği bir durum yaratıyor.
Sertifika Yetkilisi Yetkilendirme (CAA) [3], İnternet güvenlik politikasıdır ve alan adı sahiplerinin sertifika yetkililerine, belirli bir alan adı için dijital sertifika vermeye yetkili olup olmadıklarını belirlemelerine izin verir.
Şifreleme, alan adı doğrulama sonuçlarını yalnızca doğrulama tarihinden itibaren 30 gün boyunca iyi değerlendirir ve ardından sertifikayı vermeden önce bu alan adını yetkilendiren CAA kaydını yeniden kontrol eder. Let’s Encrypt tarafından kullanılan sertifika imzalama yazılımı Boulder’ın kodunda bulunan hata, bir sertifika isteği CAA’nın yeniden denetlenmesi gereken N alan adını içerdiğinde, Boulder bir kez kontrol edeceği N alan adı yerine bir alan adı seçip N kez kontrol ediyor.
Bu, Let’s Encrypt’in ilk başta olmaması gereken sertifikalar vermiş olabileceği ve bunun sonucunda tüm TLS sertifikalarını iptal etmesi gerektiği anlamına geliyor. Let’s Encrypt 116 milyon aktif sertifikadan % 2,6’sı olan yaklaşık 3,048,289 sertifikanın etkilenmiş olabileceğini açıkladı.
Etkilenen web sitesi sahiplerinin sertifikalarını değiştirmek için 8 Mart UTC’ye kadar, web sitesi ziyaretçileri yenileme işlemi tamamlanıncaya kadar TLS güvenlik uyarılarıyla karşılaşmayacak. Let’s Encrypt tarafından verilen sertifikaların 90 günlük bir süre için geçerli olduğunu ve Certbot gibi ACME istemcilerinin bunları otomatik olarak yenileyebildiğini belirtmek gerekir.
Sertifikanın değiştirilmesinin gerekip gerekmediğini kontrol etmek için burayı tıklayınız.
[1] Let’s Encrypt İlk Ücretsiz SSL/TLS Sertifikasını Verdi
[2] 2020.02.29 CAA Rechecking Bug
[3] DNS Certification Authority Authorization
Kaynak : 