Единадесет метода за проверка на домейни за TLS сертификати са отхвърлени.

Форумът CA/Browser, платформа за съвместно вземане на решения, която отговаря на интересите на доставчиците на браузъри и сертифициращите органи, одобри нови изисквания за организациите, издаващи HTTPS сертификати. Новите изисквания отменят 11 метода за проверка на собствеността на домейна, за който е издаден сертификат. Поддръжката на тези отхвърлени методи ще бъде постепенно прекратена до март 2028 г. Посочената причина за отхвърлянето на поддръжката е фокусирането върху автоматизирани и криптографски проверими методи за проверка.

Методите, свързани с използването на WHOIS информация, потвърждаването на информация за контакт чрез имейл, телефонни обаждания, факсове, SMS или хартиени писма и проверката, базирана на проверка на собствеността на IP адреса, регистриран за домейна в DNS, са остарели. Очаква се прекратяването на поддръжката на тези методи за проверка да елиминира вратичките, които потенциално биха могли да позволят на атакуващите да получат достъп. сертификат за домейн, които те не контролират. Например, преди година беше демонстрирано, че е възможно да се получат TLS сертификати за други домейни в зоната „.mobi“ чрез отвличане на остарялата WHOIS услуга на регистратора на домейни.

Списък с методи за проверка на собствеността на домейн, които са отхвърлени:

• Изпращане на имейл, факс, SMS или хартиено писмо до информацията за контакт, посочена за домейна в базата данни WHOIS или в SOA записа в DNS.
• Изпращане на имейл, факс, SMS или писмо на хартия до посочените данни за контакт за свързания домейн IP адреси.
• Изпращане на код за потвърждение до стандартни имейл адреси като admin@, administrator@, webmaster@, hostmaster@ и postmaster@.
• Изпращане на код за потвърждение на имейл адреса, посочен в CAA записа на домейна в DNS.
• Изпращане на код за потвърждение на имейл адреса, посочен в TXT записа на домейна в DNS.
• Потвърждение чрез телефонно обаждане на номера, посочен като телефонен номер за контакт на домейна.
• Потвърждение чрез телефонно обаждане на номера, посочен в TXT записа на домейна в DNS.
• Потвърждение чрез телефонно обаждане на номера, посочен в CAA записа на домейна в DNS.
• Потвърждение чрез телефонно обаждане на номера, посочен като номер за контакт за IP адреса, към който е свързан домейнът.
• Проверки, базирани на потвърждение на собствеността на IP адреса, регистриран за домейна в DNS.
• Проверки, базирани на обратно преобразуване на IP адреси.

Източник: opennet.ru