V2EX = way to explore V2EX 是一个关于分享和探索的地方
Sign Up Now For Existing Member Sign In
请不要在回答技术问题时复制粘贴 AI 生成的内容
This topic created in 2248 days ago, the information mentioned may be changed or developed.
https://community.letsencrypt.org/t/revoking-certain-certificates-on-march-4/114864
三百万受2020.02.29 CAA Rechecking Bug影响的证书将被撤销。
Bug 原因：当一个证书有 n 个域名需要检查 caa 记录时，LE 会选其中一个域名重复检查 n 次。此 bug 导致颁发证书时可能会无视域名的 caa 记录。
Supplement 1 Mar 4, 2020
2020.02.29 CAA Rechecking Bug
Let's Encrypt在验证域名控制权的同时也会检查对应的caa记录。域名控制权在被Let's Encrypt验证后的30天内有效。根据Baseline Requirements，域名的caa记录需要在颁发证书前8小时内检查。也就是说部分控制权有效的域名在颁发证书前需要再次检查caa记录。
而再次检查caa记录的代码存在bug，对于n个需要再次检查caa记录的域名，Let's Encrypt仅对其中的一个检查了n次。
如果用户通过了域名控制权和caa记录检查，给一个域名申请了Let's Encrypt证书，那么用户在之后的30天内申请包含这个域名的多域名证书时，其中一些域名的caa记录可能不会生效。
确认bug的时间是2020-02-29 03:08 UTC。03:10 UTC证书颁发暂停。05:22 UTC bug被修复。
初步认为bug引入日期为2019-07-25。
根据Baseline Requirements，Let's Encrypt需要在5天内吊销有问题的证书。截止时间为2020-03-05 03:00 UTC，也就是北京时间3月5号11:00。
 | 1 janxin Mar 4, 2020 赶紧更新一下证书保平安 |
 | 2 mostkia Mar 4, 2020 反正也就 3 个月，不过对于那些机器自动部署的证书，未到期就撤销，机器能识别到并且立即自动补上吗？不行的话估计一些站点得无法访问一段时间了。 |
 | 3 kaixuan1901 Mar 4, 2020  5 谢谢提醒。补上检查地址： https://checkhost.unboundtest.com/ |
 | 4 jokechat Mar 4, 2020 2 |
 | 6 iloveucyy19 Mar 4, 2020 已检查，无问题，谢谢 |
 | 7 yushuda Mar 4, 2020 受影响...换成阿里云免费证书了 |
 | 8 qingmumu Mar 4, 2020 感谢提醒，检查需要更换，已重新签了 |
 | 10 kasusa Mar 4, 2020 不知道你在说什么。。。但是 stocking 好评赞 |
 | 11 skymei Mar 4, 2020 谢谢提醒...,我的要换了 |
 | 12 momocraft Mar 4, 2020 看 bug 描述 是不是只影 CAA record 出的多域名？ |
 | 13 scys Mar 4, 2020 被命中，重新申请 |
 | 14 Xusually Mar 4, 2020 检查受影响，已经--force 重签并更新 谢谢提醒 |
 | 15 timwei Mar 4, 2020 |
 | 16 chping Mar 4, 2020 各种云都有免费的证书哦 |
 | 17 x66 Mar 4, 2020 两个域名检查之后都没问题。 |
 | 18 lc7029 Mar 4, 2020 自签证书路过。。。 |
 | 19 lazyyz Mar 4, 2020 via Android 手里域名检查后都没问题 |
 | 20 ntdll Mar 4, 2020 已签发，未到期的证书，如何吊销？难道是直接把中间证书吊销么。 |
 | 21 learningman Mar 4, 2020 @gam2046 OCSP，现在的浏览器都会做这个检查，不做这个检查的确实不受影响 |
 | 22 zeocax Mar 4, 2020 via Android |
 | 23 geekzu Mar 5, 2020 via Android @learningman chrome 就不查 |
| 24 geekzu Mar 5, 2020 via Android 楼主表述的 Bug 原因不太准确，LE 这次 Bug 是 CAA 验证有效期错误（本应缓存 8 小时，却错误设置成 30 天），而不是验证范围（漏验证部分域名）那么严重 |
| 25 learningman Mar 5, 2020 @geekzu chrome 是自己弄了个证书透明吧 |
Select Language