Encriptemos la vulnerabilidad – Schneier on Safety


Encriptemos la vulnerabilidad

La BBC es informes Una vulnerabilidad en el servicio de certificado Let&#39s Encrypt:

En un correo electrónico de notificación a sus clientes, la organización dijo: «Recientemente descubrimos un mistake en el código de la autoridad de certificación Permit&#39s Encrypt».

«Desafortunadamente, esto significa que debemos revocar los certificados afectados por este mistake, que incluye uno o más de sus certificados. Para evitar interrupciones, deberá renovar y reemplazar sus certificados afectados antes del miércoles 4 de marzo. 2020. Nos disculpamos sinceramente por el problema «.

No veo nada en Let&#39s Encrypt sitio web. Y no hay otros detalles en ningún lado. Publicaré más cuando sepa más.

EDITADO PARA AGREGAR: Más de Ars Technica:

Permit&#39s Encrypt utiliza el software package Certification Authority llamado Boulder. Normalmente, un servidor world wide web que presta servicios a muchos nombres de dominio separados y utiliza Let&#39s Encrypt para protegerlos recibe un único certificado LE que cubre todos los nombres de dominio utilizados por el servidor en lugar de un certificado separado para cada dominio individual.

El mistake que LE descubrió es que, en lugar de verificar cada nombre de dominio por separado para obtener registros CAA válidos que autoricen que ese dominio sea renovado por ese servidor, Boulder verificaría uno de los dominios en ese servidor n veces (donde n es el número de LE dominios con servicio en ese servidor). Enable&#39s Encrypt generalmente considera que los resultados de validación de dominio son válidos durante 30 días desde el momento de la validación, pero los registros de CAA específicamente deben verificarse no más de ocho horas antes de la emisión del certificado.

El resultado es que se presenta una ventana de 30 días en la que Permit&#39s Encrypt puede emitir certificados a un servidor website en particular a pesar de la presencia de registros CAA en DNS que prohibirían su emisión.

Dado que Let&#39s Encrypt se encuentra en una posición poco envidiable de posiblemente haber emitido certificados que no debería haber emitido, está revocando todos los certificados actuales que podrían no haber tenido una verificación adecuada de registros CAA el miércoles 4 de marzo. Los usuarios cuyos certificados están programados para ser revocados lo harán necesita forzar manualmente la renovación antes de eso.

Y Allow&#39s Encrypt tiene un entrada en el website al respecto

Publicado el 4 de marzo de 2020 a las 6:46 a.m.

9 comentarios



Enlace a la noticia unique