Início / server / Perguntas / 1132532
Accepted
lonix
Asked: 2023-06-03 08:56:46 +0800 CST

O endereço de e-mail de registro letsencrypt está armazenado no certificado

  • 772

Estou usando letsencrypt de duas formas: uma docker stack usando certbot, e outra usando traefik (que faz o gerenciamento de certificados automaticamente, usando lego). Em ambos os casos, há uma configuração para o endereço de e-mail de registro.

Esse endereço de e-mail está armazenado no certificado ou em outro lugar? E alguém (além de letsencypt) pode descobrir esse endereço de e-mail?

ssl-certificate

2 respostas

  1. O início do processo de certificação começa com a criação de um CSR ou Solicitação de assinatura de certificado. Essa solicitação permite a entrada opcional de um endereço de e-mail que será incorporado ao certificado assim que for fornecido.

    A documentação e o vídeo no link abaixo mostram como eles são criados.

    https://www.ssl.com/how-to/manually-generate-a-certificate-signing-request-csr-using-openssl/

    • 0
  2. Best Answer

    Do fórum letsencrypt :

    • Os únicos que sabem esse endereço de e-mail (muito poderoso) são você e o Let's Encrypt
    • É usado por Let's Encrypt para informar sobre uma expiração pendente
    • Não será codificado no certificado
    • Não será publicado em nenhum lugar e, portanto, não estará contido em nenhum serviço de "logs de transparência"

    E:

    A correlação de e-mail para conta/domínios existe apenas em dois locais:

    • Banco de dados de LetsEncrypt, que associa um endereço de e-mail a um ID de conta. A equipe do LetsEncrypt pode obter essas informações por conta própria. Você mesmo pode obter essas informações apresentando ao LetsEncrypt a AccountKey atual, que ocorre em conexões https seguras. Nenhum terceiro pode acessar essas informações de LetsEncrypt. Interceptar essas informações durante uma chamada de API exigiria um MITM ou outro ataque.
    • Se LetsEncrypt enviar um e-mail de expiração, esse e-mail pode ser retransmitido a você por terceiros confiáveis. É possível, mas incrivelmente improvável, que (i) os provedores de serviços de e-mail da LetsEncrypt ou (ii) seu provedor de serviços de e-mail estejam extraindo essas informações dos e-mails que retransmitem e armazenam.
    • 0

relate perguntas