Сегодня, 28 января, Let’s Encrypt отзовёт миллионы сертификатов

Популярный центр сертификации Let’s Encrypt в эту пятницу начинает отзывать сертификаты SSL/TLS, выпущенные за последние 90 дней, поскольку они были выпущены ненадлежащим образом.

Некоммерческая организация Let's Encrypt подчиняется Internet Security Research Group (ISRG). Центр сертификации выпускает бесплатные криптографические сертификаты стандарта X.509, обеспечивающие шифрование передаваемых по сети данных.

Сторонние исследователи, изучившие репозиторий Let's Encrypt, проинформировали ISRG о двух проблемах в имплементации метода валидации «TLS с использованием ALPN». Чтобы исправить недостаток, Let’s Encrypt потребовалось внести два изменения в работу проверки TLS-ALPN-01.

Процедура может затронуть около 2 млн действующих сертификатов, так как по оценкам сотрудников, проблема коснулась менее 1% от всех выпущенных сертификатов, а всего активных на сегодняшний день насчитывается более 221 млн.

Затронутые владельцы сертификатов будут уведомлены об отзыве по электронной почте, после чего им потребуется продление сертификата.