由于CAA代码中存在Bug，免费证书颁发机构Let’s encrypt决定吊销300多万张客户证书。由于事发突然，Let’s encrypt仅对有联系方式的用户进行了邮件通知，且从通知到吊销留给用户的更新时间不足24小时，可能造成大量用户无法及时更新证书，出现网站业务中断，造成直接经济损失。

Let’s encrypt名为Boulder的CA软件中出现CAA代码Bug，导致Let’s encrypt在没有遵循规范正确检查CAA记录的情况下签发了大量SSL证书，这批问题证书需要强制吊销并于美国东部时间3月4日晚上9点（约为北京时间3月5日上午10点）开始执行。根据Let’s encrypt官网用户评论显示，很多用户没有及时收到通知，且在短时间内完成证书更新也存在困难。免费证书颁发机构在人员配置、服务响应、技术支持等方面资源有限，受影响的300多万用户可能无法及时得到证书服务和技术支持。

从此次事件来看，对于企业用户而言，在企业网站、业务平台、信息系统等Web站点上部署免费SSL证书，可能并不意味着真正免费。免费SSL证书缺失了网站身份认证功能，虽然降低了部署成本，但也成为钓鱼网站、恶意网站用于仿冒合法网站的工具；而免费SSL证书安全事件爆发及服务响应能力不足等问题，导致用户网站业务中断并使网站处于被劫持、被窃听等安全风险中，由此带来的经济损失远超SSL证书采购成本。

文章来源: 互联网

厦门聚力诚信科技有限公司（BestCert.net）是网络安全领域的专业服务提供商，专注提供SSL证书，邮件安全证书，代码签名证书等国际、国密双算法的数字证书管理服务, 涵盖所有市场主流的SSL证书类型和品牌，从证书的申请，验证，安装，证书专家全程在线支持！公司同时为各行业客户提供电子签章，身份认证等电子认证服务解决方案。