CA/Browser Forum, platforma za zajedničko donošenje odluka koja se bavi interesima dobavljača preglednika i tijela za certifikaciju, odobrila je nove zahtjeve za organizacije koje izdaju HTTPS certifikate. Novi zahtjevi ukidaju 11 metoda za provjeru vlasništva nad domenom za koji se izdaje certifikat. Podrška za ove ukinute metode bit će postepeno ukinuta do marta 2028. godine. Navedeni razlog za ukidanje podrške je fokusiranje na automatizirane i kriptografski provjerljive metode provjere.
Metode vezane za korištenje WHOIS informacija, potvrđivanje kontakt informacija putem e-pošte, telefonskih poziva, faksa, SMS-a ili pisama, te verifikacija zasnovana na provjeri vlasništva nad IP adresom registrovanom za domenu u DNS-u su zastarjele. Očekuje se da će prekid podrške za ove metode verifikacije eliminirati propuste u zakonu koji bi potencijalno mogli omogućiti napadačima pristup. certifikat za domenu, koje oni ne kontrolišu. Na primjer, prije godinu dana je demonstrirano da je moguće dobiti TLS certifikate za druge domene u ".mobi" zoni preuzimanjem zastarjele WHOIS usluge registrara domena.
Lista metoda za provjeru vlasništva nad domenom koje su zastarjele:
- Slanje e-pošte, faksa, SMS-a ili papirnog pisma na kontakt informacije navedene za domenu u WHOIS bazi podataka ili u SOA zapisu u DNS-u.
- Slanje e-pošte, faksa, SMS-a ili papirnog pisma na kontakt informacije navedene za povezanu domenu IP adrese.
- Slanje verifikacijskog koda na standardne e-mail adrese kao što su admin@, administrator@, webmaster@, hostmaster@ i postmaster@.
- Slanje verifikacijskog koda na email naveden u CAA zapisu domene u DNS-u.
- Slanje verifikacijskog koda na email naveden u TXT zapisu domene u DNS-u.
- Potvrda telefonskim pozivom na broj naveden kao kontakt broj za domenu.
- Potvrda telefonskim pozivom na broj naveden u TXT zapisu domene u DNS-u.
- Potvrda telefonskim pozivom na broj naveden u CAA zapisu domene u DNS-u.
- Potvrda telefonskim pozivom na broj naveden kao kontakt broj za IP adresu na koju je domena povezana.
- Provjere zasnovane na potvrdi vlasništva nad IP adresom registrovanom za domen u DNS-u.
- Provjere zasnovane na inverznom razrješenju IP adrese.
izvor: opennet.ru
