Låt oss kryptera: Migrera från TLS-SNI-01

Let's Encrypt är en gratistjänst som genererar certifikat för att säkra din webbplats. Det stöder generering av olika typer av certifikat, inklusive endomän och jokertecken. Dessutom har den många metoder för att autentisera din domän för att generera ett certifikat.

• http-01 (Enkel HTTP)
• dns-01 (DNS-validering)
• tls-sni-01(Validering genom användning av ett självsignerat certifikat - nu föråldrat )

Problemet

Tyvärr upptäcktes en sårbarhet i januari 2018 där det blev möjligt att generera certifikat för domäner utan föregående autentisering/auktorisering. Till exempel kan certifikat genereras för domäner som du faktiskt inte äger.

Kort därefter tls-sni-01avbröts protokollet ( ) och de flesta nya emissioner (nya certifikat) blockerades från att använda protokollet för att autentisera.

Byter till enkel HTTP

Att byta till http-01eller "Simple HTTP"-autentisering är ganska enkelt. Om du använder för certbot-autoatt generera dina certifikat, har Let's Encrypt redan genererat ett nytt certifikat eller kommer att göra det automatiskt under nästa "förnyelse".

Om du använder certbotbör du använda --preferred-challengeparametern:

certbot (...) --prefered-challenge

Detta kommer att tala om för Let's Encrypt att byta till http-01.

Byter till DNS-validering

Om du vill undvika allt detta krångel är det relativt enkelt att konfigurera Let's Encrypts DNS-validering. När du kör certbot, lägg till --preferred-challenges dnssom en parameter:

certbot -d example.com --manual --preferred-challenges dns

certbot kommer att skriva ut något som liknar följande:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

När du har lagt till posten med din DNS-leverantör, tryck på ENTER. Du måste sedan ställa in ett CRON-jobb för att automatiskt förnya ditt certifikat. Eftersom DNS-validering har använts behöver du inte oroa dig för omdirigering som du skulle göra för http-01, (port 80till port 443).