, и совместно анонсираха ново TLS разширение (DC), решаваща проблема с удостоверения при организиране на достъп до сайта чрез мрежи за доставка на съдържание. Удостоверенията, издадени от удостоверяващите центрове, имат дълъг срок на действие, което създава трудности при необходимостта от организиране на достъп до сайта чрез трета страна, от името на която трябва да се установи защитена връзка, тъй като предаването на удостоверението на сайта на външна услуга създава допълнителни заплахи за сигурността.
Новото разширение може също така да бъде полезно за сайтове, чиято работа се осигурява от голяма разпределена инфраструктура с множество балансировачи на натоварването. Делегираните удостоверения ще избегнат необходимостта от съхранение на копия на частни ключове на основните удостоверения на всеки възел, който отдава съдържание. При класическия подход успешна атака на който и да е от сървърите, участващи в отдаването на HTTPS трафик, ще доведе до компрометиране на целия сертификат. В случай на предаване на частни ключове на мрежи за доставка на съдържание възникват заплахи от изтичане на данни в резултат на действия на персонала, действия на специални служби или компрометиране на инфраструктурата на CDN.
Ако изтичането на ключове остане незабелязано, тези, които получат достъп до ключовете, ще могат достатъчно дълго незабелязано да се намесват в трафика на сайта (MITM), тъй като сроковете на действие на сертификатите се измерват в месеци и години. В Cloudflare за защита на ключовете на сертификатите могат да бъдат специални сервъри за ключове, работещи от страната на собственика на сайта, но работата в такъв режим води до значителни забавяния в отдаването на трафик, намалява надеждността поради появата на допълнителен елемент и изисква разгръщане на сложна инфраструктура.
Предложеното TLS разширение Делегирани Удостоверения въвежда в употреба допълнителен междинен частен ключ, чийто срок на действие е ограничен до часове или няколко дни (не повече от 7 дни). Този ключ се генерира на базата на издаденото от удостоверяващия център удостоверение и позволява да се запази частният ключ на първоначалното удостоверение в тайна от услугите за доставка на съдържание, предоставяйки им само временен сертификат с кратък срок на действие.
За да избегнете проблеми с достъпа след изтичане на срока на живот на междинния ключ, е предвидена технология за автоматично обновление, която се извършва от страната на изходния TLS сървър. За генерирането не е необходимо извършването на ръчни операции или стартиране на скриптове — авторизираният сървър, на когото е необходим частният ключ, преди изтичането на срока на предишния ключ, се свързва с изходния TLS сървър на сайта и той генерира междинен ключ за следващия кратък период от време.
Браузерите, поддържащи TLS разширението Delegated Credentials, ще възприемат подобни производни сертификати като доверени. Например, поддръжката на указаното разширение вече е добавена в нощните сборки и бета-версии на Firefox и може да бъде активирана в about:config чрез промяна на настройката „security.tls.enable_delegated_credentials“. В средата на ноември сред определен процент потребители на тестовите версии на Firefox също планирано да бъде проведено експеримент „„, в рамките на който за проверка на качеството на реализиране на новото TLS разширение ще бъде изпратен тестов запит на DC сървър Cloudflare. Поддръжката на Delegated Credentials също вече е вградена в библиотеката с реализиране на TLS 1.3.
Спецификацията на Delegated Credentials е предадена на комитета IETF (Internet Engineering Task Force), който се занимава с развитието на протоколите и архитектурата на Интернет, и е в процес на чрез кандидатстване за статута на интернет стандарт. Разширението Delegated Credentials може да се прилага само с TLSv1.3.
За генерирането на междинни ключове е необходимо получаването на TLS сертификат, включващ специално разширение X.509, което в момента се поддържа само от сертифициращия орган DigiCert.
Източник: opennet.ru
