Lad os kryptere: Migrering fra TLS-SNI-01

Let's Encrypt er en gratis tjeneste, der genererer certifikater for at sikre din hjemmeside. Det understøtter generering af forskellige typer certifikater, herunder enkelt-domæne og jokertegn. Derudover har den adskillige metoder til at autentificere dit domæne for at generere et certifikat.

• http-01 (Simpel HTTP)
• dns-01 (DNS-validering)
• tls-sni-01(Validering gennem brug af et selvsigneret certifikat - nu forældet )

Problemet

Desværre blev der opdaget en sårbarhed i januar 2018, hvor det blev muligt at generere certifikater for domæner uden forudgående godkendelse/autorisation. For eksempel kan certifikater genereres for domæner, som du faktisk ikke ejer.

Kort efter blev protokollen ( tls-sni-01) afbrudt, og de fleste nye udstedelser (nye certifikater) blev blokeret fra at bruge protokollen til at godkende.

Skift til Simple HTTP

At skifte til http-01eller "Simpel HTTP"-godkendelse er ret simpelt. Hvis du bruger certbot-autotil at generere dine certifikater, vil Let's Encrypt allerede have genereret et nyt certifikat eller vil gøre det automatisk under den næste "fornyelse".

Hvis du bruger certbot, skal du bruge --preferred-challengeparameteren:

certbot (...) --prefered-challenge

Dette vil fortælle Let's Encrypt at skifte til http-01.

Skifter til DNS-validering

Hvis du vil undgå alt dette bøvl, er det relativt nemt at konfigurere Let's Encrypts DNS-validering. Når du udfører certbot, skal du tilføje --preferred-challenges dnssom en parameter:

certbot -d example.com --manual --preferred-challenges dns

certbot vil udskrive noget der ligner følgende:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Når du har tilføjet posten med din DNS-udbyder, skal du trykke på ENTER. Du skal derefter konfigurere et CRON-job for automatisk at forny dit certifikat. Da DNS-validering er blevet brugt, behøver du ikke at bekymre dig om omdirigering, som du ville gøre for http-01, (port 80til port 443).