Omogućava šifriranje: Migracija s TLS-SNI-01

Let's Encrypt je besplatna usluga koja generira certifikate za osiguranje vaše web stranice. Podržava generiranje različitih vrsta certifikata, uključujući jednu domenu i zamjenske znakove. Osim toga, ima brojne metode za provjeru autentičnosti vaše domene za generiranje certifikata.

• http-01 (Jednostavan HTTP)
• dns-01 (DNS provjera valjanosti)
• tls-sni-01(Provjera valjanosti korištenjem samopotpisanog certifikata - sada zastarjelo )

Pitanje

Nažalost, u siječnju 2018. otkrivena je ranjivost gdje je postalo moguće generirati certifikate za domene bez prethodne autentifikacije/autorizacije. Na primjer, certifikati bi se mogli generirati za domene koje zapravo ne posjedujete.

Ubrzo nakon toga, protokol ( tls-sni-01) je ukinut i većina novih izdanja (novi certifikati) blokirana je za korištenje protokola za provjeru autentičnosti.

Prelazak na jednostavan HTTP

Prebacivanje na http-01ili "Simple HTTP" autentifikaciju prilično je jednostavno. Ako koristite certbot-autoza generiranje svojih certifikata, Let's Encrypt će već generirati novi certifikat ili će to učiniti automatski tijekom sljedeće "obnove".

Ako koristite certbot, trebali biste koristiti --preferred-challengeparametar:

certbot (...) --prefered-challenge

Ovo će reći Let's Encrypt da se prebaci na http-01.

Prelazak na DNS provjeru valjanosti

Ako želite izbjeći svu ovu gnjavažu, relativno je lako konfigurirati Let's Encrypt provjeru DNS-a. Prilikom izvršavanja certbotdodajte --preferred-challenges dnskao parametar:

certbot -d example.com --manual --preferred-challenges dns

certbot ispisat će nešto slično sljedećem:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Nakon što dodate zapis sa svojim DNS davateljem, pritisnite ENTER. Zatim ćete morati postaviti CRON posao da automatski obnovite svoj certifikat. Budući da je korištena DNS provjera valjanosti, nećete morati brinuti o preusmjeravanju kao što biste to učinili za http-01, (od porta 80do porta 443).