因为Bug，Let's Encrypt决定吊销300多万张证书！
公益型数字证书颁发机构(CA) Let's Encrypt 不久前宣布，于（世界标准时间UTC）3月4日起撤销3,048,289张有效SSL/TLS 证书，并向受影响的客户发邮件告知，以便其及时更新。为避免用户业务中断，Let's Encrypt 建议用户在3月4日前更换受影响的证书，不然网站访客会看到一个与证书失效有关的安全警告。浏览器
因为事发的忽然性和时区问题，以及由于免费证书致使自己服务能力较弱，Let's Encrypt只给一些公司不到2小时的通知，仅通知到其中极少部分的用户。安全
据统计，因为过时证书而致使的意外业务中断可能形成的损失超过1100万美圆，对于那些不知道本身因没法预计的缘由而经历业务中断的企业将会形成巨大损失！服务器
Let's Encrypt 在邮件中写道：很遗憾，这意味着咱们须要撤销受此错误影响的一批证书，其中包括您的一个或多个证书。所以形成的不便，咱们深表歉意。网络
若是客户没法在证书被吊销（3月4日）前更新，网站访客将看到安全警告，直到证书再次更新。新证书的续签流程，能够在 ACME 文档中找到。dom
证书吊销事件原由：CAA验证Bugide
CAA是一种 DNS 记录，它容许站点全部者指定容许证书颁发机构（CA）颁发包含其域名的证书。该记录在 2013 年由 RFC 6844 标准化，以容许 CA “下降意外颁发证书的风险”。默认状况下，每一个公共 CA 在验证申请者的域名控制权后能够为任何在公共 DNS 中的域名颁发证书。这意味着若是某个CA的验证流程出现错误，全部域名都有可能受到影响。CAA记录为域名持有者提供了下降这类风险的方法。工具
CA签发证书的时候，会去查询和验证CAA记录，用以确认本身是否有资格为该域名颁发证书。这个查询验证结果按照规范只有8小时的有效期，若是超过8小时须要从新查询和验证。测试
2月底的时候，Let’s Encrypt发现其证书颁发机构（CA）中的软件（称为Boulder）存在CAA验证漏洞。Boulder中的漏洞致使多域证书中的一个域被验证屡次CAA，而不是证书中的全部域都被验证一次CAA。这意味着，该漏洞形成部分证书在签发前没有按照规范去验证CAA。所以，对于这批证书 Let's Encrypt 会强制将其吊销。网站
安全专家警告说：这次漏洞可能为恶意***者打开控制网站上TLS证书的门，从而使***可以窃听网络流量并收集敏感数据。加密
例如：***能够经过 DNS劫持签发domain.com的 DV证书，而且顺利的利用浏览器安全提示，从而实现钓鱼网站，窃取用户的帐号，密码等重要信息资料。
Bug时间线：
☞ 2019-07-25 的代码引入Bug
☞ 2020-02-29 03:08 （UTC）确认该Bug的存在
☞ 2020-02-29 03:10 （UTC）暂停证书签发
☞ 2020-02-29 05:22 （UTC）修复代码
☞ Let's Encrypt计划在2020-03-05 03:00（UTC）以前完成吊销证书工做
用户影响：
一、接到邮件通知的用户须要从新颁发一次证书；
二、用户能够本身检测证书是否须要从新颁发；
三、若是没有正确从新签发证书，将会致使网站没法访问；
如何检测证书是否须要从新颁发：
建议使用MySSL.com检测工具查看部署的证书是否吊销，如需检测更多HTTPS网站部署异常状况，可经过MySSL企业版进行持续监控。
安全建议：
网站全部者可依靠证书自动化管理平台（如：一站式证书智能管理系统 CertManager），以此避免此类证书吊销事件引发的网站业务中断。
免费证书易引起安全风险
做为网站信息安全的一项基础配置，愈来愈多的网站须要安装SSL/TLS证书（服务器证书）来认证网站身份和进行HTTPS流量加密，避免“钓鱼”网站和信息泄露的危害。
SSL/TLS证书由数字证书颁发机构（CA）签发，目前，SSL证书按照安全等级分为最低安全级别 DV（域名型）、其次 OV（组织型）和最高安全级别 EV（加强型）三种。
Let's Encrypt 提供的是最低安全级别的免费DV（域名型 ）SSL 证书，且证书有效期为90天。
免费SSL证书适用于我的用户体验和企业测试，虽然能够在无成本的状况下为客户提供基础安全的服务，但近年来爆出的安全事件说明，免费SSL证书恐怕只是看起来很美。并不适合商业用户。
CA在签发 OV 型和 EV 型证书时，会验证组织身份，通过严格的审核后才会颁发。因此 OV 型和 EV 型证书在实现HTTPS加密协议的同时能够标示网站身份，起到必定的反钓鱼功能，提升访客对网站的信心。
而DV型证书，仅经过系统验证域名控制权，不验证组织身份信息的真实性，申请机构是否通过合法注册则被彻底忽视。它能起到基础的HTTPS信息加密的做用，而丧失了SSL证书的另外一重要功能，即域名全部者组织身份的真实性验证。
因此，对于安全事件频发的免费DV SSL证书仅仅推荐我的用户体验和非商业网站测试使用，商用站点建议选择 OV 型或者更高安全级别的 EV 型证书。