par Lugdanum dans R&Dt
le 2020/03/04 à 18:00:48 | Environ 1mn et 12s de lecture...

Faille Let's Encrypt

Hello

Je pense que vous êtes déjà sûrement au courant, car si vous êtes concernés vous avez certainement reçu un petit mail vous avertissant de ce problème...

Pour rappel, Let's Encrypt est une autorité de certification qui fournit des certificats gratuits X.509 pour le protocole cryptographique TLS.

Wikipédia précise :

Le projet vise à généraliser l'usage de connexions sécurisées sur l’internet. En supprimant la nécessité de paiement, de la configuration du serveur web, des courriels de validation et de gestion de l'expiration des certificats, le projet est fait pour réduire de manière significative la complexité de la mise en place et de la maintenance du chiffrement TLS. Sur un serveur GNU/Linux, l’exécution de seulement deux commandes est censée être suffisante pour paramétrer le chiffrement HTTPS, l’acquisition et l’installation de certificats, et ceci en quelques dizaines de secondes.

Let's Encrypt est dans l’obligation de révoquer plus de 3 millions de certificats TLS suite à un bug découvert dans le code de son backend. Du coup, ils envoient un mail aux propriétaires des domaines concernés.

Tous les certificats impactés déclenchent des erreurs, mais vous pouvez aussi vérifier si vous êtes impacté en utilisant ce site: https://checkhost.unboundtest.com/

Si vous êtes dans ce cas, pas d'autre solution, il faut que vous remplaciez votre certif par un nouveau !

TAGS: lets encrypt | sécurité | https

⬅ Article aprèsArticle avant ➡