Το θέμα
Μετάβαση σε Απλό HTTP
Μετάβαση σε επικύρωση DNS
Το Let's Encrypt είναι μια δωρεάν υπηρεσία που δημιουργεί πιστοποιητικά για την ασφάλεια του ιστότοπού σας. Υποστηρίζει τη δημιουργία διαφορετικών τύπων πιστοποιητικών, συμπεριλαμβανομένων ενός τομέα και μπαλαντέρ. Επιπλέον, διαθέτει πολλές μεθόδους για τον έλεγχο ταυτότητας του τομέα σας για τη δημιουργία πιστοποιητικού.
http-01
(Απλό HTTP)
dns-01
(Επικύρωση DNS)
tls-sni-01
(Επικύρωση με χρήση αυτουπογεγραμμένου πιστοποιητικού - πλέον καταργημένο )
Το θέμα
Δυστυχώς, τον Ιανουάριο του 2018 ανακαλύφθηκε ένα θέμα ευπάθειας όπου κατέστη δυνατή η δημιουργία πιστοποιητικών για τομείς χωρίς προηγούμενο έλεγχο ταυτότητας/εξουσιοδότηση. Για παράδειγμα, θα μπορούσαν να δημιουργηθούν πιστοποιητικά για τομείς που στην πραγματικότητα δεν σας ανήκουν.
Λίγο αργότερα, το πρωτόκολλο ( tls-sni-01
) διακόπηκε και οι περισσότερες νέες εκδόσεις (νέα πιστοποιητικά) αποκλείστηκαν από τη χρήση του πρωτοκόλλου για έλεγχο ταυτότητας.
Μετάβαση σε Απλό HTTP
Η εναλλαγή σε http-01
έλεγχο ταυτότητας ή "Απλό HTTP" είναι αρκετά απλή. Εάν χρησιμοποιείτε certbot-auto
για τη δημιουργία των πιστοποιητικών σας, το Let's Encrypt θα έχει ήδη δημιουργήσει ένα νέο πιστοποιητικό ή θα το κάνει αυτόματα κατά την επόμενη "ανανέωση".
Εάν χρησιμοποιείτε certbot
, θα πρέπει να χρησιμοποιήσετε την --preferred-challenge
παράμετρο:
certbot (...) --prefered-challenge
Αυτό θα πει στο Let's Encrypt να αλλάξει σε http-01
.
Μετάβαση σε επικύρωση DNS
Εάν θέλετε να αποφύγετε όλη αυτή την ταλαιπωρία, είναι σχετικά εύκολο να διαμορφώσετε την επικύρωση DNS του Let's Encrypt. Κατά την εκτέλεση certbot
, προσθέστε --preferred-challenges dns
ως παράμετρο:
certbot -d example.com --manual --preferred-challenges dns
certbot
θα εκτυπώσει κάτι παρόμοιο με το παρακάτω:
Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:
(random_string)
Once this is deployed,
Press ENTER to continue
Μόλις προσθέσετε την εγγραφή με τον πάροχο DNS, πατήστε ENTER. Στη συνέχεια, θα χρειαστεί να ρυθμίσετε μια εργασία CRON για αυτόματη ανανέωση του πιστοποιητικού σας. Καθώς έχει χρησιμοποιηθεί επικύρωση DNS, δεν θα χρειάζεται να ανησυχείτε για την ανακατεύθυνση όπως θα κάνατε για το http-01
, (port 80
to port 443
).