Ассоциацията CA/Browser Forum, която действа като платформа за съвместно вземане на решения, отчитайки интересите на производителите на браузъри и удостоверяващите центрове, утвърди нови изисквания към организациите, издаващи сертификати за HTTPS. В новите изисквания 11 метода за проверка на собственост върху домейни, за които се издава сертификат, са обявени за остарели. Подкрепата за остарелите методи ще бъде спряна поетапно до март 2028 година. Като причини за спирането на подкрепата се посочва фокусиране на вниманието върху автоматизирани и криптографски проверими методи за проверка.
Обявени за остарели са методите, свързани с използването на информация от услугата WHOIS, потвърждаване на контактни данни чрез имейл, телефонни обаждания, факсове, SMS или писма, както и верификация, основана на проверка на собствеността върху IP адреса, посочен за домейна в DNS. Предполага се, че спирането на подкрепата за тези методи на проверка ще позволи да се избегнат слаби места, които потенциално да позволят на нападателите да получат сертификат за домейн, който не контролират. Например, преди година беше демонстрирана възможността за получаване на TLS сертификати за чужди домейни в зона «.mobi» чрез улавяне на остарялата WHOIS услуга на регистратора на тази домейн зона.
Списък на методите за потвърждаване на собствеността на домейна, обявени за остарели:
- Изпращане на имейл, факс, SMS или писмо по контактните данни, посочени за домейна в базата WHOIS или в SOA записа в DNS.
- Изпращане на имейл, факс, SMS или писмо по контактните данни, посочени за свързания с домейна IP адреси.
- Изпращане на проверителен код на типови имейли, като admin@, administrator@, webmaster@, hostmaster@ и postmaster@.
- Изпращане на проверителен код на имейл, посочен в CAA записа на домейна в DNS.
- Изпращане на проверителен код на имейл, посочен в TXT записа на домейна в DNS.
- Потвърждаване чрез телефонно обаждане на номера, посочен като контакт за домейна.
- Потвърждаване чрез телефонно обаждане на номера, посочен в TXT записа на домейна в DNS.
- Потвърждаване чрез телефонно обаждане на номера, посочен в CAA записа на домейна в DNS.
- Потвърждаване чрез телефонно обаждане на номера, посочен като контакт за IP адреса, с който е свързан домейнът.
- Проверки на основа на потвърждение на собствеността на IP адреса, записан за домейна в DNS.
- Проверки на основа на обратен резолвинг на IP адреса.
Източник: opennet.ru
