Исходное сообщение
"Let's Encrypt опубликовал описание атаки и план по устранени..." Отправлено КО, 11-Янв-18 09:52
Проблема в том, что те кто придумывал протокол, не подумали, что на одному ip могут быть сопоставлены несколько имен. У провайдера есть клиент1 с example1.com и клиент2 с example2.com. Сейчас, чтобы получать LE сертификат оба клиента должны иметь возможность поднять сервер *.acme.invalid. Причем по адресу и не скажешь зачем он нужен. Поэтому провайдер и проверить то ничего не может. Еслиб надо было бы поднимать сервак *.example.com.acme.invalid - провайдер мог бы ограничивать клиентов в своих хотелках (мол хочешь example2.com, можешь поднимать *.example2.com.acme.invalid, но не *.example1.com.acme.invalid).