Let's Encrypt sẽ thu hồi rất nhiều chứng chỉ SSL trong ngày tới

Let's Encrypt sẽ bắt đầu thu hồi một số chứng chỉ SSL/TLS đã phát hành trong vòng 90 ngày qua do lỗi, bắt đầu từ ngày 28 tháng 01 năm 2022. Động thái này có thể ảnh hưởng đến hàng triệu chứng chỉ Let's Encrypt đang hoạt động.

Mục lục bài viết

Chứng chỉ 'cấp sai' sẽ bị thu hồi
Người dùng nhận thông báo qua e-mail
Thông báo từ Ngôi Sao Số

Là tổ chức phát hành chứng chỉ phi lợi nhuận do Nhóm nghiên cứu bảo mật Internet (ISRG) điều hành, Let's Encrypt cung cấp miễn phí chứng chỉ SSL X.509 giúp mã hóa Bảo mật tầng truyền tải.

Chứng chỉ 'cấp sai' sẽ bị thu hồi

Hôm qua, ISRG được thông báo bởi một bên thứ ba đã kiểm tra Boulder code repo của Let's Encrypt và nhận ra có "hai điểm bất thường" trong việc triển khai phương pháp xác thực "TLS sử dụng ALPN" của tổ chức phát hành chứng chỉ [1, 2].

Do đó, tổ chức phát hành chứng chỉ đã phải thực hiện hai thay đổi đối với cách hoạt động của xác thực thử thách TLS-ALPN-01.

Jillian, giải thích:
"Tất cả các chứng chỉ đang hoạt động đã được phát hành và xác thực với thử thách TLS-ALPN-01 trước 00:48 UTC vào ngày 26 tháng 1 năm 2022.

Để tuân thủ Chính sách chứng chỉ Let's Encrypt, yêu cầu tổ chức phát hành chứng chỉ hủy hiệu lực Chứng chỉ trong vòng 5 ngày theo một số điều kiện nhất định, tổ chức này sẽ bắt đầu thu hồi chứng chỉ lúc 16:00 UTC vào ngày 28 tháng 1 năm 2022.

Tuy nhiên, lưu ý rằng không phải tất cả các chứng chỉ đều bị ảnh hưởng bởi việc triển khai không đúng phương pháp xác thực "TLS sử dụng ALPN". Việc thu hồi theo kế hoạch này sẽ chỉ áp dụng cho các chứng chỉ được cấp bằng phương pháp xác thực TLS-ALPN-01 còn thiếu sót.

"Chúng tôi ước tính [ít hơn] 1% chứng chỉ đang hoạt động bị ảnh hưởng. Người đăng ký bị ảnh hưởng bởi việc thu hồi sẽ nhận được thông báo qua e-mail nếu tài khoản ACME của họ có địa chỉ e-mail hợp lệ. Nếu bạn bị ảnh hưởng bởi việc thu hồi này và cần trợ giúp để gia hạn chứng chỉ của mình. Xin vui lòng đặt câu hỏi trong chủ đề này, "

Các kỹ sư đã giải thích thêm.

"Chúng tôi sẽ cung cấp thêm thông tin chi tiết về vụ việc này trong vài ngày tới."

Tính đến tháng 11 năm 2021, số lượng chứng chỉ Let's Encrypt đang hoạt động đã vượt qua con số 221 triệu, như BleepingComputer cho biết. Do đó, số lượng chứng chỉ đang hoạt động bị ảnh hưởng (1% hoặc ít hơn) có thể chạm đến hàng triệu - nếu chúng được phát hành với xác thực thử thách TLS-ALPN-01 thiếu sót.

Người dùng nhận thông báo qua e-mail

Chủ sở hữu trang web có chứng chỉ Let's Encrypt bị ảnh hưởng đang báo cáo việc nhận được thông báo qua email, hướng dẫn họ gia hạn chứng chỉ khi việc thu hồi sắp bắt đầu.

Let's Encrypt gởi email cảnh báo (Twitter) — **Let's Encrypt gởi email cảnh báo** (Twitter)

"Nếu bạn nhận được e-mail, thì tài khoản của bạn đã nhận được thành công ít nhất một chứng chỉ trong 90 ngày qua đã được xác thực bằng cách sử dụng thử thách TLS-ALPN-01"

Let's Encrypt giải thích

"Tất cả các chứng chỉ được phát hành trong 90 ngày qua và được xác thực bằng thử thách TLS-ALPN-01 đều bị ảnh hưởng. Bạn cần (buộc) gia hạn chứng chỉ theo hướng dẫn của ứng dụng khách ACME của mình. Nếu khách hàng của bạn yêu cầu bạn thay đổi cấu hình, hãy nhớ để hoàn nguyên sau khi chứng chỉ của bạn được gia hạn! "

Vào năm 2020, Let's Encrypt đã thu hồi hàng triệu chứng chỉ sau khi biết được một lỗi xác thực khác.

Với thông báo ngắn gọn, không phải tất cả người dùng có thể hài lòng với động thái bất ngờ này nhưng cần thiết của Let's Encrypt.

Tuy nhiên, những khách hàng đang sử dụng dịch vụ lưu trữ trang web tại Ngôi Sao Số có thể tự gia hạn bằng cách vào chứng chỉ SSL trên hệ thống id.ngoisaoso.vn và bấm renew lại chứng chỉ dễ dàng.

"Các trang web sử dụng Caddy v2.4.2 hoặc mới hơn sẽ không phải thực hiện bất kỳ hành động nào khi chứng chỉ tự động bị thu hồi. Hãy tận hưởng giấc ngủ của bạn", nhóm quản trị Caddy Web Server sẽ thực hiện điều này.

"Caddy tự động ghim OCSP cho tất cả các chứng chỉ có liên quan. Nếu trạng thái tiếp theo là Thu hồi, Caddy sẽ thay thế chứng chỉ ngay lập tức."

Cập nhật, 1:54 PM ET: Đã thêm tham chiếu đến một lỗi khác đã dẫn đến việc thu hồi hàng triệu chứng chỉ Let's Encrypt vào năm 2020.

Thông báo từ Ngôi Sao Số

Nếu bạn đang sử dụng dịch vụ lưu trữ trang web tại Ngôi Sao Số và sử dụng chứng chỉ SSL Let's Encrypt miễn phí. Khá đơn giản để tạo vì hệ thống webhosting tại Ngôi Sao Số đã hỗ trợ công cụ tạo liên kết trực tiếp với Let's Encrypt nên việc khởi tạo lại khá đơn giản. Hãy truy cập vào hosting của bạn đang sử dụng tại Ngôi Sao Số. Sau đó chọn mục Quản lý tên miền/Chứng chỉ SSL.

Ảnh chụp màn hình: Chọn mục Quản lý tên miền/Chứng chỉ SSL

Sau đó tại màn hình bên phải, chọn Free & automatic certificate from Let's Encrypt và bấm lưu lại (Save). Sau đó chờ đợi cho đến khi hệ thống tự tạo chứng chỉ mới cho bạn.