5月8日傍晚，全球使用最廣泛的免費(fèi)證書頒發(fā)機(jī)構(gòu)Let's Encrypt突然按下暫停鍵。18:37 UTC，工程師發(fā)現(xiàn)一起涉及根證書交叉簽名的關(guān)鍵故障，所有證書簽發(fā)服務(wù)——包括生產(chǎn)和測(cè)試環(huán)境——被緊急叫停。

這次停機(jī)的導(dǎo)火索是一張"跨代"證書。Let's Encrypt計(jì)劃用全新的Y代根證書基礎(chǔ)設(shè)施替換現(xiàn)有的X代系統(tǒng)，而兩者之間的交叉簽名環(huán)節(jié)出了問(wèn)題。這個(gè)設(shè)計(jì)本意是確保新舊根證書之間的平滑過(guò)渡，卻在上線前暴露了兼容性隱患。

從發(fā)現(xiàn)故障到恢復(fù)服務(wù)，整個(gè)過(guò)程持續(xù)了約兩個(gè)半小時(shí)。21:03 UTC，簽發(fā)服務(wù)重新上線，但所有證書生成被強(qiáng)制回滾至X代根證書。這意味著兩個(gè)特定的ACME證書配置——tlsserver和shortlived——暫時(shí)無(wú)法使用原計(jì)劃中的新基礎(chǔ)設(shè)施。

事故時(shí)機(jī)相當(dāng)微妙。Let's Encrypt原定5月13日上線三項(xiàng)重大平臺(tái)變更，距今僅剩五天：

第一，tlsserver配置將開(kāi)始簽發(fā)45天有效期證書，這是把證書壽命從90天逐步壓縮至45天兩年路線圖的第一步；

第二，tlsclient配置——用于TLS客戶端認(rèn)證——將僅限曾申請(qǐng)過(guò)該配置的ACME賬戶使用，全面支持將于7月8日終止；

第三，classic配置計(jì)劃切換至Y代中間證書，該設(shè)計(jì)通過(guò)鏈接至現(xiàn)有的X1和X2根證書來(lái)維持廣泛的客戶端兼容性。

目前這三項(xiàng)變更仍在測(cè)試環(huán)境運(yùn)行，5月13日的生產(chǎn)環(huán)境上線計(jì)劃取決于根證書問(wèn)題的最終解決。Let's Encrypt尚未披露故障發(fā)生前是否有錯(cuò)誤簽發(fā)的證書流入生產(chǎn)環(huán)境。

對(duì)于依賴ACME自動(dòng)續(xù)期的工作流——尤其是使用tlsserver或shortlived配置的管理員——需要重點(diǎn)檢查5月8日前后的續(xù)期日志，確認(rèn)證書鏈?zhǔn)欠裾_指向預(yù)期的根證書。社區(qū)更新和技術(shù)支持詳見(jiàn)community.letsencrypt.org。