암호화 가능 : TLS-SNI-01에서 마이그레이션

• 문제
• 단순 HTTP로 전환
• DNS 검증으로 전환

Let 's Encrypt는 웹 사이트를 보호하기 위해 인증서를 생성하는 무료 서비스입니다. 단일 도메인 및 와일드 카드를 포함하여 다양한 유형의 인증서 생성을 지원합니다. 또한 도메인을 인증하여 인증서를 생성하는 많은 방법이 있습니다.

• http-01 (간단한 HTTP)
• dns-01 (DNS 검증)
• tls-sni-01(자체 서명 된 인증서 사용을 통한 유효성 검사 – 더 이상 사용되지 않음 )

문제

불행히도 2018 년 1 월에 사전 인증 / 승인없이 도메인에 대한 인증서를 생성 할 수있는 취약점이 발견되었습니다. 예를 들어 실제로 소유하지 않은 도메인에 대한 인증서를 생성 할 수 있습니다.

직후에 프로토콜 ( tls-sni-01)이 중단되었고 대부분의 새로운 발급 (새 인증서)이 프로토콜을 사용하여 인증하지 못하도록 차단되었습니다.

단순 HTTP로 전환

http-01"단순 HTTP"인증으로 전환 하거나 전환하는 것은 매우 간단합니다. certbot-auto인증서를 생성 하는 데 사용 하는 경우 Let 's Encrypt는 이미 새 인증서를 생성했거나 다음 "갱신"중에 자동으로 생성합니다.

당신이 사용하는 경우 certbot, 당신은 사용해야하는 --preferred-challenge매개 변수를 :

certbot (...) --prefered-challenge

Let 's Encrypt가로 전환하도록 알려줍니다 http-01.

DNS 검증으로 전환

이 번거 로움을 피하려면 Let 's Encrypt의 DNS 유효성 검사를 비교적 쉽게 구성 할 수 있습니다. 를 실행할 때 매개 변수로 certbot추가하십시오 --preferred-challenges dns.

certbot -d example.com --manual --preferred-challenges dns

certbot 다음과 유사한 것을 인쇄합니다.

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

DNS 제공 업체에 레코드를 추가 한 후를 누르십시오 ENTER. 그런 다음 인증서를 자동으로 갱신하려면 CRON 작업을 설정해야합니다. DNS 유효성 검사가 사용되었으므로 원하는대로 http-01(포트 80에서 포트로 443) 리디렉션에 대해 걱정할 필요가 없습니다 .