Verschlüsseln: Migration von TLS-SNI-01

• Das Thema
• Wechseln zu einfachem HTTP
• Wechseln zur DNS-Validierung

Let's Encrypt ist ein kostenloser Dienst, der Zertifikate zur Sicherung Ihrer Website generiert. Es unterstützt das Generieren verschiedener Arten von Zertifikaten, einschließlich Single Domain und Wildcard. Darüber hinaus stehen zahlreiche Methoden zur Authentifizierung Ihrer Domain zur Generierung eines Zertifikats zur Verfügung.

• http-01 (Einfaches HTTP)
• dns-01 (DNS-Validierung)
• tls-sni-01(Validierung durch Verwendung eines selbstsignierten Zertifikats - jetzt veraltet )

Das Thema

Leider wurde im Januar 2018 eine Sicherheitslücke entdeckt, bei der es möglich wurde, Zertifikate für Domains ohne vorherige Authentifizierung / Autorisierung zu generieren. Beispielsweise könnten Zertifikate für Domänen generiert werden, die Sie nicht besitzen.

Kurz darauf wurde das Protokoll ( tls-sni-01) eingestellt und die meisten Neuemissionen (neue Zertifikate) wurden daran gehindert, das Protokoll zur Authentifizierung zu verwenden.

Wechseln zu einfachem HTTP

Das Umschalten auf http-01oder "Simple HTTP" -Authentifizierung ist ziemlich einfach. Wenn Sie certbot-autozum Generieren Ihrer Zertifikate verwenden, hat Let's Encrypt bereits ein neues Zertifikat generiert oder dies bei der nächsten "Erneuerung" automatisch.

Wenn Sie verwenden certbot, sollten Sie den --preferred-challengeParameter verwenden:

certbot (...) --prefered-challenge

Dadurch wird Let's Encrypt angewiesen, zu zu wechseln http-01.

Wechseln zur DNS-Validierung

Wenn Sie all diesen Aufwand vermeiden möchten, ist es relativ einfach, die DNS-Validierung von Let's Encrypt zu konfigurieren. Fügen Sie bei der Ausführung als Parameter Folgendes certbothinzu --preferred-challenges dns:

certbot -d example.com --manual --preferred-challenges dns

certbot druckt etwas Ähnliches wie das Folgende:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Wenn Sie den Eintrag bei Ihrem DNS-Anbieter hinzugefügt haben, klicken Sie auf ENTER. Sie müssen dann einen CRON-Job einrichten, um Ihr Zertifikat automatisch zu erneuern. Da die DNS-Validierung verwendet wurde, müssen Sie sich keine Gedanken über die Umleitung machen, wie Sie es für http-01(Port 80zu Port 443) tun würden .