Let's Encrypt превключва към проверка с помощта на различни подмрежи

Сертификационен център с нестопанска цел Нека да шифроваме, контролиран от общността и предоставящ сертификати безплатно на всички, съобщи относно въвеждането на нова схема за потвърждаване на пълномощия за получаване на сертификат за домейн. Свързването със сървъра, който хоства директорията „/.well-known/acme-challenge/“, използвана в теста, вече ще се извършва с помощта на няколко HTTP заявки, изпратени от 4 различни IP адреса, разположени в различни центрове за данни и принадлежащи към различни автономни системи. Проверката се счита за успешна само ако поне 3 от 4 заявки от различни IP са успешни.

Проверката от няколко подмрежи ще ви позволи да минимизирате рисковете от получаване на сертификати за чужди домейни чрез извършване на целенасочени атаки, които пренасочват трафика чрез заместване на фиктивни маршрути с помощта на BGP. Когато използва многопозиционна система за проверка, атакуващият ще трябва да постигне едновременно пренасочване на маршрута за няколко автономни системи от доставчици с различни връзки нагоре, което е много по-трудно от пренасочването на единичен маршрут. Изпращането на заявки от различни IP адреси също ще увеличи надеждността на проверката в случай, че отделни хостове на Let's Encrypt са включени в списъците за блокиране (например в Руската федерация някои IP адреси на letsencrypt.org бяха блокирани от Roskomnadzor).

До 1 юни ще има преходен период, позволяващ генерирането на сертификати при успешна проверка от основния център за данни, ако хостът е недостъпен от други подмрежи (например, това може да се случи, ако хост администраторът на защитната стена разреши заявки само от главния център за данни Let's Encrypt или поради нарушения на синхронизирането на зони в DNS). Въз основа на регистрационните файлове ще бъде изготвен бял списък за домейни, които имат проблеми с проверката от 3 допълнителни центъра за данни. Само домейни с попълнена информация за контакт ще бъдат включени в белия списък. Ако домейнът не е автоматично включен в белия списък, заявление за помещения може да бъде изпратено и чрез специална форма.

В момента проектът Let's Encrypt е издал 113 милиона сертификата, покриващи около 190 милиона домейна (150 милиона домейна бяха покрити преди година и 61 милиона преди две години). Според статистиката на услугата Firefox Telemetry глобалният дял на заявките за страници през HTTPS е 81% (преди година 77%, преди две години 69%), а в САЩ - 91%.

Освен това може да се отбележи намерение Ябълка
Спрете да се доверявате на сертификати в браузъра Safari, чийто живот надвишава 398 дни (13 месеца). Предвижда се ограничението да се въведе само за удостоверения, издадени от 1 септември 2020 г. За сертификати с дълъг период на валидност, получени преди 1 септември, доверието ще бъде запазено, но ограничено до 825 дни (2.2 години).

Промяната може да се отрази негативно върху бизнеса на сертификационните центрове, които продават евтини сертификати с дълъг период на валидност, до 5 години. Според Apple генерирането на такива сертификати създава допълнителни заплахи за сигурността, пречи на бързото внедряване на нови крипто стандарти и позволява на атакуващите да контролират трафика на жертвата за дълго време или да го използват за фишинг в случай на незабелязано изтичане на сертификат като резултат от хакване.

Източник: opennet.ru