4006-555-883

Let's Encrypt 因系统漏洞将吊销近300万张TLS证书

发布时间:2020-03-10 10:46:00

  由于域名验证和证书签发软件中的一个错误,Let's Encrypt将吊销近300万张证书。日前,Let's Encrypt已经向受影响的客户发邮件告知,以便其及时地更新。

  由于事发突然,Let’s encrypt仅对有联系方式的用户进行了邮件通知,且从通知到吊销留给用户的更新时间不足24小时,此举可能意味着数百万依赖这些证书来保护敏感数据流的网站和机器身份可能会被识别为不安全或不可用,造成直接的经济损失。

  据悉,这批证书的吊销时间为世界标准时(UTC)3 月 4 日 00:00 整。


  证书吊销事件缘由

  2 月底的时候,Let's Encrypt发现其证书颁发软件中的漏洞导致某些证书不能通过证书颁发机构授权(CAA)正确验证。

  CAA是一项安全功能,允许域管理员创建DNS记录,该记录使得网站所有者,仅授权指定CA机构为自己的域名颁发证书,以防止HTTPS证书错误签发。并且,当局必须在颁发证书不超过8小时前,检查CAA记录。

  Let’s Encrypt的CA软件——Boulder中的漏洞导致多域证书上的一个域被多次检查,而不是证书上的所有域都被一次检查。这意味着,在某些域没有被验证的情况下,颁发了证书。

  那么,假设一个订阅者验证了一个域名,并且该域名被允许加密发布,即使某些域名是不符合Let’s Encrypt的CAA记录,该订阅者也能够正常发布包含该域名的证书,直到30天后。

  从3月4日起,Let’s Encrypt将加密撤销高达3048289个当前有效的证书,占其约1.16亿有效证书总数的2.6%。

  天威诚信是中国唯一一家由DigiCert/Symantec直接授权且由中国工信部批准的CA认证机构,专业从事数字证书等技术和产品服务20年,可提供多个产品选择及解决方案,拥有丰富应对和解决各种复杂及突发情况的专业服务支持团队,提供全天候7*24小时服务、一对一技术指导,可以为受影响的用户提供及时的帮助支持,快速完成SSL证书替换部署,减少您因为此次突发事件所产生的经济损失。

  目前,SSL证书按照安全等级分为最低安全级别 DV(域名型)、其次 OV(组织型)和最高安全级别 EV(增强型)三种。

  从此次事件来看,免费DV SSL证书缺失了网站身份认证功能,虽然降低了部署成本,但也成为了钓鱼网站、恶意网站用于仿冒合法网站的工具。

  近几年频发的免费SSL证书安全事件足以表明DV 型证书仅仅适合于个人用户体验和非商业网站测试使用,天威诚信建议商用站点选择 OV 型或者更高安全级别的 EV 型证书。同时建议企业用户通过专业SSL证书提供商申请OV和EV SSL证书,毕竟专业的服务团队和技术支持团队才能更好地保证网站的持续性稳定,解决SSL证书配置更新的后顾之忧。

最新发布
1
“羊了个羊”火遍全网,警方发布紧急提醒……
2
超八成搜索网站将个人信息出售,用户隐私安全谁来守护?
3
聚焦“国家网络安全宣传周”,部署SSL证书筑牢企业网站安全底线
4
上海6家单位被通报整改,企业不可不重视之网络安全防护责任
5
5年损失超430亿美元!你的电子邮件系统还安全吗?
6
银保监会发文严格信息安全保护机制!金融领域国密改造日趋紧迫
7
4亿多条用户信息被盗,企业网站信息安全如何防护?
8
540万Twitter账户数据被兜售,网站数据安全还有“救”吗?
9
广东首例!一公司未履行数据安全保护义务被警方处罚,企业部署SSL证书需趁早
10
国家新安全技术标准发布!公有云个人信息保护成关注焦点
相关推荐
4·15国家安全教育日 | 网络安全,你我共建
国家新安全技术标准发布!公有云个人信息保护成关注焦点
“羊了个羊”火遍全网,警方发布紧急提醒……
聚焦“国家网络安全宣传周”,部署SSL证书筑牢企业网站安全底线
损失将达10.5万亿美元!未来10年企业如何应对勒索攻击?
超1.7亿条个人信息遭泄露,这2种证书可守护你的App数据安全
Twitter流量疑遭俄罗斯劫持!防劫持保安全SSL证书不可或缺
新型诈骗惊动高层!银保监会紧急发布风险提示 SSL证书价值凸显
《网络安全法》实施五周年,加快推进国密改造提升网络空间安全
俄罗斯5.8 TB数据遭黑客泄露,关键基础设施安全亟待加强