Let's Encrypt 新增兩個網域驗證用的遠端觀測點 （★ 103 分）
Let's Encrypt 將新增兩個用於網域驗證的遠端觀測點，以提高憑證核發時抵禦網路劫持的能力。依憑證機構與瀏覽器論壇（CA/B Forum）的《基準要求》，自 2026 年 12 月 15 日起，憑證機構必須使用至少五個遠端網路來源進行多點核發佐證，且來源須分布於至少兩個區域網際網路註冊管理機構（RIR, Regional Internet Registry）的服務範圍。
調整後，Let's Encrypt 每次驗證網域時，將從主要資料中心及六個遠端觀測點共發出七次驗證請求；先前則是主要資料中心加上四個遠端來源。要成功核發憑證，主要來源與足夠數量的遠端來源都必須取得正確的挑戰回應。此機制可提高邊界閘道協定（BGP, Border Gateway Protocol）路由劫持的難度，因為攻擊者得同時誤導多個獨立網路位置。新地區預定於 2026 年 10 月 27 日先在測試環境啟用，11 月 10 日再推至正式環境。
Hacker News 討論中，有人解釋多點驗證的實際意義：憑證機構會從不同資料中心檢查網域控制權，例如 DNS-01 驗證是在網域名稱系統（DNS）紀錄中放置指定驗證值，HTTP-01 驗證則要求網站伺服器回傳指定內容。若只有單一驗證來源，攻擊者只要竄改該來源到目標網域之間的 DNS 回應或網路路由，就可能偽造驗證回應並取得未授權的 TLS 憑證；多個來源可使這類局部攔截更難成功。
不過，也有意見指出，多點驗證無法完全處理整個目的地遭路由劫持的情況。討論援引一起涉及 Hetzner 網段的案例：攻擊者曾長時間宣告不屬於自己的路由，使部分流量被導向假冒目的地，並藉此取得 virtualizor.com 的有效憑證；即使該路由已被標為無效的 RPKI（Resource Public Key Infrastructure，路由授權驗證機制）紀錄，仍有大量網路接受了它。因此，有人主張憑證機構應強制檢查 RPKI，或以 DNSSEC（DNS Security Extensions，DNS 安全延伸規格）等加密式網域所有權證明補強。然而反方認為 RPKI 採用率仍不足，若立即強制，可能造成部分網域無法核發憑證，且集中式路由授權機制也可能帶來政治性封鎖風險。
👥 29 則討論、評論 💬
https://news.ycombinator.com/item?id=50150809