Laten we versleutelen: migreren vanaf TLS-SNI-01

• Het probleem
• Overschakelen naar Simple HTTP
• Overschakelen naar DNS-validatie

Let's Encrypt is een gratis service die certificaten genereert om uw website te beveiligen. Het ondersteunt het genereren van verschillende soorten certificaten, waaronder single-domain en wildcard. Daarnaast heeft het tal van methoden om uw domein te verifiëren om een ​​certificaat te genereren.

• http-01 (Eenvoudige HTTP)
• dns-01 (DNS-validatie)
• tls-sni-01(Validatie door het gebruik van een zelfondertekend certificaat - nu beëindigd )

Het probleem

Helaas werd in januari 2018 een kwetsbaarheid ontdekt, waarbij het mogelijk werd om certificaten voor domeinen te genereren zonder voorafgaande authenticatie / autorisatie. Er kunnen bijvoorbeeld certificaten worden gegenereerd voor domeinen die u niet daadwerkelijk bezit.

Kort daarna werd het protocol ( tls-sni-01) stopgezet en werden de meeste nieuwe uitgiftes (nieuwe certificaten) geblokkeerd om het protocol te gebruiken voor authenticatie.

Overschakelen naar Simple HTTP

Overschakelen naar http-01of "Simple HTTP" -verificatie is vrij eenvoudig. Als u certbot-autouw certificaten gebruikt om te genereren, heeft Let's Encrypt al een nieuw certificaat gegenereerd of zal dit automatisch doen tijdens de volgende "verlenging".

Als u gebruikt certbot, moet u de --preferred-challengeparameter gebruiken:

certbot (...) --prefered-challenge

Dit zal Let's Encrypt vertellen om naar over te schakelen http-01.

Overschakelen naar DNS-validatie

Als je al dit gedoe wilt vermijden, is het relatief eenvoudig om de DNS-validatie van Let's Encrypt te configureren. certbotVoeg tijdens het uitvoeren toe --preferred-challenges dnsals parameter:

certbot -d example.com --manual --preferred-challenges dns

certbot zal iets als het volgende afdrukken:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Zodra je het record hebt toegevoegd aan je DNS-provider, klik je op ENTER. U moet dan een CRON-taak instellen om uw certificaat automatisch te verlengen. Aangezien DNS-validatie is gebruikt, hoeft u zich geen zorgen te maken over omleiding zoals u zou doen voor http-01(poort 80naar poort 443).