几天前,Let's Encrypt 发现他们误解了 RFC 5280,从而使他们颁发的每个证书的有效期都比预期的长一秒。
Mozilla bug tracker 上的相关问题确实看起来很严重,有些人建议撤销所有当前的 Let's Encrypt 证书(约 1.83 亿)。
但是,我看不到任何与此相关的切实安全问题。是否有任何影响,或者他们只是遵循标准程序,无论影响如何?
几天前,Let's Encrypt 发现他们误解了 RFC 5280,从而使他们颁发的每个证书的有效期都比预期的长一秒。
Mozilla bug tracker 上的相关问题确实看起来很严重,有些人建议撤销所有当前的 Let's Encrypt 证书(约 1.83 亿)。
但是,我看不到任何与此相关的切实安全问题。是否有任何影响,或者他们只是遵循标准程序,无论影响如何?
他们打开的相关任务解释了为什么他们不打算吊销证书,并提供以下不这样做的原因:
第 2 项和第 3 项声明代表了没有明显安全影响的技术原因。因此,为了回答您的问题,我认为那些要求撤销的人——根据对该问题的评论的随意审查,似乎是少数人——是出于法律条文的观点这样做的。法律条文说,错发要求撤销,但法律精神说,可以考虑问题的严重性。
如果它有助于法律条文,那么请考虑 LE 有计划更换坏证书 - 超过90 天。