Mari Mengenkripsi: Bermigrasi Dari TLS-SNI-01

• Masalah
• Beralih ke HTTP Sederhana
• Beralih ke validasi DNS

Let's Encrypt adalah layanan gratis yang menghasilkan sertifikat untuk mengamankan situs web Anda. Ini mendukung pembuatan berbagai jenis sertifikat, termasuk domain tunggal dan wildcard. Selain itu, ia memiliki banyak metode untuk mengautentikasi domain Anda untuk menghasilkan sertifikat.

• http-01 (HTTP Sederhana)
• dns-01 (Validasi DNS)
• tls-sni-01(Validasi melalui penggunaan sertifikat yang ditandatangani sendiri - sekarang tidak digunakan lagi )

Masalah

Sayangnya, kerentanan ditemukan pada Januari 2018 di mana dimungkinkan untuk menghasilkan sertifikat untuk domain tanpa otentikasi / otorisasi sebelumnya. Misalnya, sertifikat dapat dibuat untuk domain yang sebenarnya bukan milik Anda.

Segera setelah itu, protokol ( tls-sni-01) dihentikan dan sebagian besar penerbitan baru (sertifikat baru) diblokir dari menggunakan protokol untuk otentikasi.

Beralih ke HTTP Sederhana

Beralih ke http-01atau otentikasi "HTTP Sederhana" cukup sederhana. Jika Anda menggunakan certbot-autountuk menghasilkan sertifikat Anda, Let's Encrypt akan telah menghasilkan sertifikat baru atau akan melakukannya secara otomatis selama "pembaruan" berikutnya.

Jika Anda menggunakan certbot, Anda harus menggunakan --preferred-challengeparameter:

certbot (...) --prefered-challenge

Ini akan memberitahu Let's Encrypt untuk beralih ke http-01.

Beralih ke validasi DNS

Jika Anda ingin menghindari semua kerumitan ini, relatif mudah untuk mengkonfigurasi validasi DNS Let's Encrypt. Saat menjalankan certbot, tambahkan --preferred-challenges dnssebagai parameter:

certbot -d example.com --manual --preferred-challenges dns

certbot akan mencetak sesuatu yang mirip dengan yang berikut:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Setelah Anda menambahkan catatan dengan penyedia DNS Anda, tekan ENTER. Anda kemudian perlu mengatur pekerjaan CRON untuk secara otomatis memperbarui sertifikat Anda. Karena validasi DNS telah digunakan, Anda tidak perlu khawatir tentang pengalihan seperti yang Anda inginkan http-01, (port 80to port 443).