Let’s Encrypt cancela 3 milhões de certificados HTTPS devido a bug

Na semana passada, a Let’s Encrypt comemorou a marca de 1 bilhão de certificados HTTPS emitidos gratuitamente. Dias depois, a euforia foi substituída por uma preocupação: cerca de 3 milhões desses certificados terão que ser anulados por conta de um erro de software.

A Let’s Encrypt é uma autoridade certificadora (CA, na sigla em inglês) que emite certificados SSL/TLS. A iniciativa surgiu em 2016 e ganhou popularidade mundial por não cobrar pelos certificados emitidos.

Em parte, esse sucesso é possível graças à adoção, pela iniciativa, do ACME (Automatic Certificate Management Environment), protocolo que automatiza a obtenção dos certificados.

Tudo parecia bem, até que, em 29 de fevereiro, um dos engenheiros responsáveis pela Let’s Encrypt relatou que uma falha foi identificada no Boulder, sistema de gerenciamento automatizado de certificados usado pela iniciativa.

O Boulder verifica os registros de Autorização da Autoridade de Certificação (CAA, na sigla em inglês) para checar quais autoridades certificadoras podem emitir certificados para determinado domínio. Se a CAA não indicar nenhuma, qualquer CA poderá realizar a emissão.

Esse é um procedimento de segurança. Porém, o bug encontrado pela Let’s Encrypt impedia o Boulder de executar a tarefa do jeito certo: se houvesse solicitação para checagem de um grupo de dez domínios, por exemplo, o sistema verificava um único domínio dez vezes no lugar de verificar cada um deles.

Fonte: Tecnoblog