Let's Encrypt 即將吊銷數百萬張有效數碼證書

根據該帖文內容，CAA 檢查漏洞的觸發場景為：某個已通過 Let's Encrypt 現有證書認證的域名新增了 CAA 記錄，在記錄新增後的8小時至30天內，Let's Encrypt 收到該域名的第二張證書申請。本次計劃吊銷的受影響證書均是在上述場景下簽發的。

證書訂閱方很難確認自己持有的 Let's Encrypt 多域名證書是否屬於本次吊銷範圍，因為這需要極其精確地掌握 CAA 記錄變更和證書簽發的具體時間節點。考慮到 CAA 記錄的當前狀態無法反映對應證書簽發時的記錄狀態，就連 Let's Encrypt 要完成這項排查工作也可能不具備實操性。

該帖文沒有說明 Let's Encrypt 計劃如何判定哪些多域名證書受到影響。我質疑他們能否有把握完成這項排查，也推測 Let's Encrypt 最終將被迫吊銷漏洞修復完成前簽發的所有有效多域名證書。為安全起見，所有訂閱方都應按照自己持有的 Let's Encrypt 多域名 SSL 證書將在未來4天內被吊銷的情況做好應對準備。

近年來，因不符合已發布的行業規範要求而強制吊銷證書的事件，發生頻率和影響範圍都有所上升。自動化證書部署、發現與替換 是防範此類吊銷事件導致業務中斷的核心保障手段。持有大量證書的用戶需將證書自動化管理列為必備能力，以最大程度保障業務正常運行時間。