- Let's Encrypt chính thức bắt đầu cung cấp chứng chỉ ngắn hạn có thời hạn 6 ngày và chứng chỉ dựa trên địa chỉ IP
- Chứng chỉ ngắn hạn có hiệu lực trong 160 giờ (khoảng 6 ngày 16 giờ), có thể được cấp bằng cách chọn hồ sơ
shortlived trong ACME client
- Chứng chỉ này nhằm tăng cường bảo mật bằng cách thúc đẩy gia hạn thường xuyên, đồng thời giảm sự phụ thuộc vào quy trình thu hồi (revocation) vốn có độ tin cậy thấp
- Chứng chỉ địa chỉ IP hỗ trợ cả IPv4 và IPv6 và do địa chỉ IP có tính biến động cao nên chỉ được cấp dưới dạng chứng chỉ ngắn hạn
- Động thái lần này được đánh giá là một bước thay đổi theo lộ trình nhằm mở rộng hệ thống gia hạn chứng chỉ tự động và tăng cường bảo mật
Cung cấp chứng chỉ ngắn hạn (6 ngày)
- Chứng chỉ ngắn hạn (short-lived certificate) có hiệu lực trong 160 giờ, ngắn hơn nhiều so với chứng chỉ 90 ngày hiện tại
- Có thể được cấp nếu chọn hồ sơ chứng chỉ
shortlived trong ACME client
- Chứng chỉ này tăng cường bảo mật bằng cách yêu cầu xác thực thường xuyên hơn, đồng thời giảm nhẹ vấn đề bất ổn của hệ thống thu hồi
- Trước đây, khi khóa riêng bị lộ thì cần thu hồi chứng chỉ, nhưng do quy trình thu hồi không đủ đáng tin cậy nên trạng thái dễ bị tấn công có thể kéo dài đến khi hết hạn
- Khi dùng chứng chỉ ngắn hạn, khoảng thời gian dễ bị tổn thương này được rút ngắn đáng kể
- Chứng chỉ ngắn hạn là tùy chọn opt-in, và không có kế hoạch chuyển thành mặc định
- Người dùng đã xây dựng hoàn chỉnh quy trình gia hạn tự động có thể chuyển đổi dễ dàng
- Tuy vậy, do không phải mọi người dùng đều quen với vòng đời ngắn, thiết lập mặc định sẽ được giữ nguyên
- Trong vài năm tới, dự kiến rút ngắn thời hạn hiệu lực chứng chỉ mặc định từ 90 ngày xuống 45 ngày
Chứng chỉ địa chỉ IP
- Chứng chỉ địa chỉ IP (IP address certificate) cho phép xác thực kết nối TLS bằng địa chỉ IP thay vì tên miền
- Chứng chỉ địa chỉ IP bắt buộc chỉ được phát hành dưới dạng chứng chỉ ngắn hạn
- Lý do là địa chỉ IP thay đổi thường xuyên hơn tên miền, nên cần xác thực thường xuyên
- Có thể xem thêm thông tin chi tiết và các trường hợp sử dụng trong bài viết đầu tiên về chứng chỉ IP được công bố vào tháng 7/2025
Hỗ trợ và tài trợ
- Việc phát triển lần này nhận được hỗ trợ từ Open Technology Fund, Sovereign Tech Agency, cùng các nhà tài trợ và người quyên góp
- Let's Encrypt là tổ chức chứng thực (CA) miễn phí, tự động hóa và công khai do tổ chức phi lợi nhuận Internet Security Research Group (ISRG) vận hành
- Có thể xem toàn bộ hoạt động phi lợi nhuận trong báo cáo thường niên 2025 của ISRG
1 bình luận
Ý kiến trên Hacker News
Tính đến hôm nay, vẫn chưa thể nhận chứng chỉ địa chỉ IP bằng certbot
Thay vào đó tôi dùng lego, nhưng đã mất khá nhiều thời gian để tìm đúng câu lệnh
Câu lệnh tôi dùng thành công hôm qua là
lego --domains 206.189.27.68 --accept-tos --http --disable-cn run --profile shortlivedCó vẻ vẫn đang được triển khai (GitHub issue)
Chứng chỉ địa chỉ IP là một chủ đề đặc biệt thú vị khi người dùng iOS tự vận hành máy chủ DoH
Trên iOS, nó chỉ hoạt động khi có chứng chỉ hợp lệ cho cả FQDN lẫn IP
Vì thế các profile của những dịch vụ lớn như dns4eu hay nextdns thì hoạt động tốt, còn máy chủ DoH tự dựng của cá nhân thì thất bại
Có lẽ đây không phải thứ do kỹ sư iOS thêm vào một cách tường minh, mà là tác dụng phụ của thư viện mật mã đang được dùng
Tôi thắc mắc vì sao lại là chứng chỉ 6 ngày
8 ngày sẽ thuận tiện hơn cho việc gia hạn theo tuần, và tôi còn nghĩ 8 là lũy thừa của 2 cũng như là một con số may mắn
Nhưng 6 thì đơn giản là không thấy hợp
Nếu là 8 ngày thì lưu lượng có thể dồn vào một vài thứ trong tuần nhất định
160 là tổng của 11 số nguyên tố đầu tiên, đồng thời cũng là tổng lập phương của 3 số nguyên tố đầu tiên
Tôi hy vọng bước tiếp theo sẽ là tập trung vào việc cấp chứng chỉ cho địa chỉ .onion
.onion vốn đã có sẵn cặp khóa nên việc chứng minh quyền sở hữu còn đáng tin hơn DNS
Nếu muốn chứng chỉ IP thì certbot vẫn chưa hỗ trợ
Đã có PR liên quan được mở (#10495)
Còn acme.sh thì có vẻ đã hỗ trợ rồi
Hy vọng certbot cũng sẽ sớm hỗ trợ
Tôi đang thử nghiệm với chu kỳ gia hạn 2 tuần, nhưng giờ chứng chỉ lại được cấp dưới dạng 6 ngày, nên khá bối rối
Nếu pipeline bị lỗi thì thời gian để debug là quá ngắn
Thật khó chấp nhận lập luận rằng IP có mức độ biến động cao hơn tên miền
IP tĩnh của VPS không thay đổi thường xuyên đến vậy
Nếu bạn nhận một chứng chỉ 45 ngày rồi trả lại IP đó ngay, người dùng khác có thể được cấp IP ấy
Khi đó bạn sẽ nắm giữ một chứng chỉ hợp lệ cho IP của người khác, nên khá nguy hiểm
Chính sách như vậy có vẻ là cách tiếp cận chưa hiểu rõ công việc ngoài hiện trường
Phần lớn nhà vận hành dịch vụ không trực tiếp kiểm soát chính IP đó, nên đây là biện pháp để giảm rủi ro cho CA
Khó bị lạm dụng, nhưng vẫn là một điểm cần cân nhắc về bảo mật
Tôi tự hỏi liệu sự xuất hiện của chứng chỉ IP có thể khiến IPsec transport mode được chú ý trở lại không
RFC 5660 do tôi viết cũng có liên quan
Việc bắt IPsec tunnel dùng chứng chỉ vẫn rất phiền phức
Một số thiết bị firewall thậm chí còn có bug lạ khiến việc xác thực thất bại nếu chain chứng chỉ quá dài
Vì chứng chỉ IP chỉ áp dụng được cho các địa chỉ có thể truy cập từ Internet, nên TLS cho thiết bị LAN vẫn còn khó
Chỉ cần nhận lưu lượng bằng DNAT ở edge, chuyển tiếp đến VM dùng để gia hạn chứng chỉ, rồi phân phối lại cho thiết bị nội bộ
*.home.example.com) cho mạng gia đìnhCần một DNS công khai cho phép thiết lập bản ghi TXT qua API, nhưng plugin DNS của lego hỗ trợ khá nhiều nhà cung cấp
Tôi thực sự rất vui với thông báo lần này
Chứng chỉ IP giải quyết được bài toán bootstrap ban đầu của phần mềm self-hosted
Ví dụ như có thể không còn cần đến tính năng instant subdomains của TakingNames nữa
Chứng chỉ địa chỉ IP rất hữu ích khi dịch vụ tồn tại ngắn hạn (ephemeral service) cần giao tiếp bằng TLS
Không phải tạo riêng bản ghi DNS nên rất tiện khi cần dựng hàng trăm instance tạm thời
Nếu dùng chứng chỉ IP thay cho SNI lộ ở dạng văn bản thuần, bên ngoài sẽ không nhìn thấy hostname thực tế
Nhờ đó ngay cả các trang nhỏ không chạy trên cloud lớn cũng có thể dùng ECH mà không cần proxy
Mức ẩn danh cũng cao hơn