Let's Encrypt премина към проверка, използвайки различни подмрежи

Неправителствен сертификатен център Let’s Encrypt, управляван от общността и предлагащ сертификати безплатно на всички желаещи, обяви относно внедряването на нова схема за удостоверяване на правомощията за получаване на сертификат за домейн. Обращението към сървъра, на който е разположен използваният за проверка каталог «/.well-known/acme-challenge/», ще се осъществява чрез няколко HTTP запитвания, изпращани от 4 различни IP адреса, разположени в различни датацентрове и принадлежащи на различни автономни системи. Проверка се счита за успешна само ако поне 3 от 4 запитвания от различни IP адреси са успешни.

Проверка от няколко подсетки ще намали рисковете за получаване на сертификати за чужди домейни чрез целеви атаки, пренасочващи трафика чрез манипулиране на фиктивни маршрути с помощта на BGP. При използване на многопозиционна система за проверка на атакуващия ще му е необходимо едновременно да постигне пренасочване на маршрутите за няколко автономни системи на доставчици с различни uplink-ове, което е значително по-трудно от пренасочването на единичен маршрут. Изпращането на запитвания от различни IP адреси освен това ще увеличи надеждността на проверката в случай на попадане на единични хостове на Let’s Encrypt в черни списъци (например, в Руската Федерация някои IP адреси на letsencrypt.org са попадали под блокировка от Роскомнадзор).

До 1 юни ще действа преходен период, който допуска генерирането на сертификати при успешно преминаване на проверка от основния датацентър, при недостъпност на хоста от останалите подсетки (например, това може да се случи, ако администраторът на хоста е разрешил запитвания само от основния датацентър на Let’s Encrypt или поради нарушение на синхронизацията на зоните в DNS). На базата на логовете ще бъде изготвен бял списък за домейни, които имат проблеми с проверката от 3 допълнителни датацентрове. В белия списък ще попаднат само домейни с попълнени контактни данни. В случай че домейнът не попадне автоматично в белия списък, може да се изпрати заявка за включването му чрез специална форма.

Към момента проектът Let’s Encrypt е издал 113 милиона сертификата, обхващащи около 190 милиона домени (преди година бяха обхванати 150 милиона домени, а преди две години — 61 милиона). Според статистиката на сервиза Firefox Telemetry, глобалният дял на заявките за страници по HTTPS е 81% (преди година 77%, преди две години 69%), а в САЩ — 91%.

Допълнително може да се отбележи, намерението компанията Apple
да прекрати доверието в браузъра Safari към сертификати, чийто срок на валидност надхвърля 398 дни (13 месеца). Ограничението се планира да влезе в сила само за сертификати, издадени след 1 септември 2020 година. За сертификати, получени преди 1 септември, с по-дълъг срок на валидност доверието ще остане, но ще бъде ограничено до 825 дни (2.2 години).

Тази промяна може да се отрази негативно на бизнеса на удостоверяващите центрове, които продават евтини сертификати с дълъг срок на валидност, достигащ до 5 години. Според Apple генерирането на подобни сертификати създава допълнителни заплахи за сигурността, пречи на бързото внедряване на нови криптостандарти и позволява на злонамерени лица дълго време да контролират трафика на жертвата или да го използват за фишинг в случай на незабележимо изтичане на сертификата в резултат на хакерска атака.

Източник: opennet.ru