URL: https://linuxfr.org/users/skud/journaux/letsencrypt-desactive-l-authentification-tls-sni Title: Letsencrypt désactive l'authentification tls-sni Authors: mxt Date: 2018年01月19日T19:48:20+01:00 License: CC By-SA Tags: letsencrypt Score: 56 Let's Encrypt (LE) est une autorité de certifications qui a bousculé l’écosystème en fournissant gratuitement des certificats SSL reconnus par la plupart des navigateurs. Ces certificats ont une durée de validité assez courte (quelques mois), mais des scripts permettent de les générer et de les renouveler automatiquement. Pour obtenir ou renouveler un certificat il faut réussir à démontrer que le demandeur est bien le propriétaire du nom domaine rattaché au certificat. Pour se faire il existait trois méthodes (challenges): * Challenge http-01: nécessite que le port 80 soit disponible * le client demande un certificat pour le domaine X au serveur Let's Encrypt (LE), le serveur retourne une chaîne aléatoire de caractères, * cette chaîne doit être publiée à l'url http://X/.well-known/acme/chaine, * si LE parvient à joindre cette url, l'authenticité du domaine est validée et le certificat est délivré par LE. * Challenge dns: la chaîne retournée par LE doit être rendue disponible via une requête DNS * Challenge tls-sni: * le client utilise la chaîne pour générer un certificat tls auto-signé invalide contenant la chaîne et le rend disponible sur le serveur web, * LE effectue une requête tls à l'adresse IP du domaine, en positionnant l'extension [[Server_Name_Indication]] à la valeur de la chaîne. Ce challenge sni ouvre une faille de sécurité pour les hébergements mutualisés. Certains gros hébergeurs autorisent leurs clients à mettre en place n'importe quel certificat sni, sans aucune vérification. Le résultat est qu'un client peut alors obtenir un certificat ssl pour un domaine dont il n'est pas propriétaire mais qui est hébergé à la même adresse IP. Let's Encrypt a donc décidé de suspendre l'obtention de nouveaux certificats avec le challenge tls-sni [1], le renouvellement de certificats existants via ce challenge semble être encore possible. Le script officiel auto-certbot peut donc ne plus fonctionner et certaines modifications peuvent être nécessaires dans votre infrastructure si vous utilisiez le mécanisme tls-sni pour générer des nouveaux certificats ssl. [1] https://community.letsencrypt.org/t/important-what-you-need-to-know-about-tls-sni-validation-issues/50811