Публично обявени 11 метода за верификация на домейни за TLS сертификати за остарели

Асоциацията CA/Browser Forum, която служи като платформа за съвместно вземане на решения, отчитаща интересите на производителите на браузъри и удостоверителни центрове, одобри нови изисквания към организациите, които издават сертификати за HTTPS. В новите изисквания 11 метода за проверка на собственост върху домейна, за който се издава сертификат, са обявени за остарели. Прекратяването на поддръжката на остарелите методи ще бъде извършено поетапно до март 2028 година. Като причини за прекратяване на поддръжката се посочва фокусът върху автоматично изпълнявани и криптографски верифицируеми методи за проверка.

Обявени за остарели са методите, свързани с използването на информация от услугата WHOIS, потвърждаването на контактни данни чрез имейл, телефонни обаждания, факсове, SMS или писма, а също и верификацията въз основа на проверка на собствеността на IP адреса, вписан за домейна в DNS. Предполага се, че прекратяването на поддръжката на посочените методи за проверка ще позволи да се избегнат вратички, които потенциално дават възможност на атакуващите да получат сертификат за домейн, които те не контролират. Например, преди година беше демонстрирана възможността за получаване на TLS сертификати за чужди домейни в зоната „.mobi“ чрез захващане на остарялата WHOIS услуга на регистратора на тази домейн зона.

Списък на методите за потвърждение на собствеността върху домейна, обявени за остарели:

• Изпращане на имейл, факс, SMS или писмо до контактните данни, посочени за домейна в базата WHOIS или в SOA записа в DNS.
• Изпращане на имейл, факс, SMS или писмо до контактните данни, посочени за свързания с домейна IP адреси.
• Изпращане на проверъчен код на стандартни имейл адреси, като admin@, administrator@, webmaster@, hostmaster@ и postmaster@.
• Изпращане на проверъчен код на имейл адреса, указан в CAA записа на домейна в DNS.
• Изпращане на проверъчен код на имейл адреса, указан в TXT записа на домейна в DNS.
• Потвърждение чрез телефонно обаждане на номера, посочен като контакт за домейна.
• Потвърждение чрез телефонно обаждане на номера, посочен в TXT записа на домейна в DNS.
• Потвърждение чрез телефонно обаждане на номера, посочен в CAA записа на домейна в DNS.
• Потвърждение чрез телефонно обаждане на номера, посочен като контакт за IP адреса, с който е свързан домейнът.
• Проверки на база потвърдена собственост на IP адреса, регистриран за домейна в DNS.
• Проверки на база обратен резолвинг на IP адреса.

Източник: opennet.ru