Asociace CA/Browser Forum, která slouží jako platforma pro společné rozhodování s ohledem na zájmy výrobců prohlížečů a certifikačních autorit, schválila nové požadavky na organizace vydávající certifikáty pro HTTPS. V nových požadavcích byly prohlášeny za zastaralé 11 metod ověřování vlastnictví domény, pro kterou je vydáván certifikát. Ukončení podpory zastaralých metod bude probíhat postupně do března 2028. Mezi důvody pro ukončení podpory patří zaměření pozornosti na automaticky prováděné a kryptograficky ověřitelné metody ověřování.
Zastaralé byly prohlášeny metody související s využíváním informací z WHOIS, potvrzením kontaktních údajů prostřednictvím e-mailu, telefonních hovorů, faxů, SMS nebo papírových dopisů, jakož i ověřením na základě ověřování vlastnictví IP adresy uvedené pro doménu v DNS. Předpokládá se, že ukončení podpory uvedených metod ověřování umožní zbavit se slabin, které potenciálně umožňovaly útočníkům získat certifikát pro doménu, kterou nemají pod kontrolou. Například před rokem byla demonstrována možnost získání TLS certifikátů pro cizí domény v zóně „.mobi“ prostřednictvím zachycení zastaralé WHOIS služby registrátora této doménové zóny.
Seznam metod potvrzení vlastnictví domény, které byly prohlášeny za zastaralé:
- Odeslání e-mailu, faxu, SMS nebo papírového dopisu na kontaktní údaje uvedené pro doménu v databázi WHOIS nebo v SOA záznamu v DNS.
- Odeslání e-mailu, faxu, SMS nebo papírového dopisu na kontaktní údaje uvedené pro doménu spojenou s IP adres.
- Odeslání ověřovacího kódu na typové e-maily, jako jsou admin@, administrator@, webmaster@, hostmaster@ a postmaster@.
- Odeslání ověřovacího kódu na e-mail uvedený v CAA záznamu domény v DNS.
- Odeslání ověřovacího kódu na e-mail uvedený v TXT záznamu domény v DNS.
- Potvrzení telefonním hovorem na číslo uvedené jako kontaktní pro doménu.
- Potvrzení telefonním hovorem na číslo uvedené v TXT záznamu domény v DNS.
- Potvrzení telefonním hovorem na číslo uvedené v CAA záznamu domény v DNS.
- Potvrzení telefonním hovorem na číslo uvedené jako kontakt pro IP adresu, ke které je doména přidružena.
- Ověření na základě potvrzení vlastnictví IP adresy zapsané pro doménu v DNS.
- Ověření na základě zpětného resolování IP adresy.
Zdroj: opennet.ru
