Lets Encrypt: Migrating From TLS-SNI-01

• Problem
• Przełączanie na prosty HTTP
• Przejście na sprawdzanie poprawności DNS

Let's Encrypt to darmowa usługa, która generuje certyfikaty w celu zabezpieczenia Twojej witryny. Obsługuje generowanie różnych typów certyfikatów, w tym pojedynczej domeny i symboli wieloznacznych. Ponadto ma wiele metod uwierzytelniania domeny w celu wygenerowania certyfikatu.

• http-01 (Prosty HTTP)
• dns-01 (Sprawdzanie poprawności DNS)
• tls-sni-01(Sprawdzanie poprawności za pomocą certyfikatu z podpisem własnym - obecnie nieaktualne )

Problem

Niestety w styczniu 2018 r. Została odkryta podatność, w której możliwe stało się generowanie certyfikatów dla domen bez uprzedniego uwierzytelnienia / autoryzacji. Na przykład certyfikaty mogą być generowane dla domen, które tak naprawdę nie są Twoją własnością.

Wkrótce potem protokół ( tls-sni-01) został przerwany, a większość nowych wydań (nowych certyfikatów) została zablokowana przy użyciu protokołu do uwierzytelnienia.

Przełączanie na prosty HTTP

Przełączanie na http-01uwierzytelnianie „Simple HTTP” lub „Simple HTTP” jest dość proste. Jeśli używasz certbot-autodo generowania certyfikatów, Let's Encrypt wygeneruje już nowy certyfikat lub zrobi to automatycznie podczas następnego „odnowienia”.

Jeśli używasz certbot, powinieneś użyć --preferred-challengeparametru:

certbot (...) --prefered-challenge

Dzięki temu Let's Encrypt przełączy się na http-01.

Przejście na sprawdzanie poprawności DNS

Jeśli chcesz uniknąć tych wszystkich kłopotów, stosunkowo łatwo jest skonfigurować walidację DNS Let's Encrypt. Podczas wykonywania certbotdodaj --preferred-challenges dnsjako parametr:

certbot -d example.com --manual --preferred-challenges dns

certbot wydrukuje coś podobnego do następującego:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Po dodaniu rekordu u dostawcy DNS naciśnij ENTER. Następnie musisz skonfigurować zadanie CRON, aby automatycznie odnowić certyfikat. Ponieważ zastosowano sprawdzanie poprawności DNS, nie będziesz musiał martwić się o przekierowanie, tak jak w przypadku http-01(port 80do portu 443).