Let's Encrypt переходит на шесть удалённых точек проверки до декабрьского срока
Каждая проверка сертификата теперь будет делать семь запросов: один из основного дата-центра и шесть из удалённых точек.
Let's Encrypt добавляет две удалённые точки, поднимая общее число с четырёх до шести. Так он выполняет правила CA/Browser Forum, которые вступают в силу 15 декабря 2026 года и требуют минимум пять. Смысл в том, чтобы затруднить подмену проверки домена через BGP-хайджекинг.
Тестирование в staging начнётся 27 октября, а развёртывание в продакшене запланировано на 10 ноября.
Что меняется
Let's Encrypt объявил, что добавляет две удалённые точки для проверки домена и поднимает их общее число с четырёх до шести. Каждая проверка будет делать семь запросов: один из основного дата-центра и шесть из удалённых точек. Чтобы проверка прошла, основной сервер и кворум удалённых точек должны получить правильный ответ на challenge.
Почему сейчас
Базовые требования CA/Browser Forum (раздел 3.2.2.9, Multi-Perspective Issuance Corroboration) вступают в силу 15 декабря 2026 года и требуют минимум пяти удалённых точек. Чем больше точек наблюдения, тем труднее тому, кто подменяет маршруты через BGP, обмануть проверку из одной сетевой точки.
Даты и последствия
- 27 октября 2026: проверка с новыми регионами начнётся в staging.
- 10 ноября 2026: развёртывание в продакшене, если staging пройдёт без проблем.
Let's Encrypt ожидает «незначительного или нулевого влияния на пользователей». Если ваш файервол или геоблокировка пропускают трафик проверки по источнику, проверьте новые регионы во время staging.
Атака в августе обошла проверку из нескольких точек, а тред спорит о причинах
Разбор на cloudpunk.blog описывает перехват в конце августа 33 часа адресного пространства, которое принадлежит Hetzner. Благодаря ему был выдан действительный сертификат для virtualizor.com, несмотря на проверку из нескольких точек:
«Если сеть в целом считает, что адрес назначения находится в другом месте, то все пути приведут к одной и той же (ложной) точке.» — комментатор, который цитирует разбор перехвата Hetzner на cloudpunk.blog
Другой комментатор оспорил утверждение, что маршрут был недействителен по RPKI:
«Маршрут был валиден по RPKI, потому что атакующие вписали AS Hetzner в AS_PATH, а Hetzner поставил максимальную длину /24 в ROA.» — комментатор, который проверил историю ROA для префикса в bgp.tools
Больше точек наблюдения усложняет атаки на путь, но не защищает от перехвата самого адреса назначения. По мнению треда, защита на стороне владельца сводится к двум вещам: максимальная длина ROA должна совпадать с вашими анонсируемыми префиксами, а ещё нужны записи CAA.
Получайте такие разборы каждый день
Главные истории Hacker News — на email, в Telegram или RSS.
Honeypot зафиксировал, как серверы Plex взламывают ради майнинга Monero
Злоумышленники отправляют специально сформированные запросы к эндпойнту таймлайна плеера, и сервер скачивает и запускает их код.