Позволяет зашифровать: переход с TLS-SNI-01

• Проблема
• Переключение на простой HTTP
• Переключение на проверку DNS

Let's Encrypt - это бесплатный сервис, который генерирует сертификаты для защиты вашего сайта. Он поддерживает генерацию различных типов сертификатов, включая однодоменный и подстановочный знак. Кроме того, у него есть множество способов аутентификации вашего домена для генерации сертификата.

• http-01 (Простой HTTP)
• dns-01 (Проверка DNS)
• tls-sni-01(Проверка с использованием самозаверяющего сертификата - теперь не рекомендуется )

Проблема

К сожалению, уязвимость была обнаружена в январе 2018 года, когда стало возможным генерировать сертификаты для доменов без предварительной аутентификации / авторизации. Например, сертификаты могут быть созданы для доменов, которыми вы на самом деле не владеете.

Вскоре после этого протокол ( tls-sni-01) был прекращен, и большинству новых выпусков (новых сертификатов) было запрещено использовать протокол для аутентификации.

Переключение на простой HTTP

Переключиться на http-01аутентификацию или «простой HTTP» довольно просто. Если вы используете certbot-autoдля создания своих сертификатов, Let's Encrypt уже сгенерировал новый сертификат или сделает это автоматически при следующем «продлении».

Если вы используете certbot, вы должны использовать --preferred-challengeпараметр:

certbot (...) --prefered-challenge

Это скажет Let's Encrypt, чтобы переключиться на http-01.

Переключение на проверку DNS

Если вы хотите избежать всего этого, сравнительно легко настроить проверку подлинности DNS от Let's Encrypt. При выполнении certbotдобавьте --preferred-challenges dnsв качестве параметра:

certbot -d example.com --manual --preferred-challenges dns

certbot напечатает что-то похожее на следующее:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Как только вы добавите запись с вашим провайдером DNS, нажмите ENTER. Затем вам нужно будет настроить работу CRON для автоматического продления вашего сертификата. Поскольку проверка DNS была использована, вам не придется беспокоиться о перенаправлении, как вы бы http-01, (порт 80на порт 443).