Let's Encrypt премина към проверка с използване на различни подсистеми

Некоммерчески удостоверителен център Let’s Encrypt, контролирана от общността и предлагаща сертификати безплатно на всички желаещи, обяви за внедряване на нова схема за потвърждение на правомощията за получаване на сертификат за домейн. Обаждането до сървъра, на който е разположен използваният в проверката каталог ‘/.well-known/acme-challenge/’, вече ще се осъществява с помощта на няколко HTTP-заявки, изпращани от 4 различни IP адреса, разположени в различни датацентрове и принадлежащи на различни автономни системи. Проверка ще се счита за успешна само ако поне 3 от 4 заявките от различни IP са успешни.

Проверка от няколко подсистеми ще позволи минимизиране на рисковете от получаване на сертификати за чужди домейни чрез провеждане на целеви атаки, пренасочващи трафика чрез заместване на фалшиви маршрути с помощта на BGP. При използването на многопозиционна система за проверка, атакуващият трябва едновременно да постигне пренасочване на маршрутите за няколко автономни системи на доставчиците с различни uplink-и, което е значително по-сложно от пренасочването на единен маршрут. Изпращането на заявки от различни IP ще повиши и надеждността на проверката в случай на попадане на единични хостове на Let’s Encrypt в списъци за блокиране (например, в РФ някои IP на letsencrypt.org попаднаха под блокировка на Роскомнадзора).

До 1 юни ще действа преходен период, допускащ генериране на сертификати при успешно преминаване на проверка от първичния датацентър, при недостъпност на хост от останалите подсистеми (например, такова може да се случи, ако администраторът на хоста е разрешил заявки само от основния датацентър на Let’s Encrypt или заради нарушение на синхронизацията на зоните в DNS). На базата на логовете ще бъде подготвен бял списък за домейни, при които има проблеми с проверката от 3 допълнителни датацентрове. В белия списък ще попаднат само домейни с попълнени контактни данни. В случай, че домейнът не попадне в белия списък автоматично, заявката за включване може да бъде изпратена и чрез специална форма.

В момента проектът Let’s Encrypt е издал 113 млн. сертификата, обхващащи около 190 млн. домейна (преди година обхващането беше 150 млн. домейна, а преди две години — 61 млн.). Според статистиката на услугата Firefox Telemetry световният дял на заявките за страници по HTTPS е 81% (преди година 77%, преди две години 69%), а в САЩ — 91%.

Допълнително може да се отбележи, намерение компанията Apple
да прекрати доверието в браузъра Safari към сертификати, чийто срок на действие надхвърля 398 дни (13 месеца). Ограничението ще бъде въведено само за сертификати, издадени след 1 септември 2020 година. Доверие ще бъде запазено за сертификати, получени до 1 септември, но с ограничен срок на действие от 825 дни (2.2 години).

Промяната може да оказва негативно влияние на бизнеса на удостоверяващите центрове, които предлагат евтини сертификати с дълъг срок на действие, достигащ до 5 години. Според Apple, генерирането на подобни сертификати създава допълнителни заплахи за сигурността, затруднява бързото внедряване на нови криптостандарти и позволява на злонамерени лица продължително да контролират трафика на жертвите или да го използват за фишинг в случай на незабележка загуба на сертификата в резултат на хакерска атака.

Източник: opennet.ru