IETF schválil Automatizované prostředí pro správu certifikátů (ACME), které pomůže automatizovat získávání SSL certifikátů. Vysvětlíme, jak to funguje.
/ Flickr / /
Proč byl standard potřeba
Průměrně může administrátor na nastavení domény strávit od jedné do tří hodin. Pokud dojde k chybě, bude muset čekat, až bude žádost zamítnuta, a teprve poté ji může znovu podat. To vše ztěžuje nasazení rozsáhlých systémů.
Postup ověření domény se může u každého certifikačního centra lišit. Nedostatek standardizace může čas od času vést k problémům s bezpečností. Je znám , kdy kvůli chybě v systému jeden CA ověřil všechny uvedené domény. V takových situacích mohou být SSL certifikáty vydávány podvodným zdrojům.
Schválený protokol IETF ACME (specifikace ) by měl automatizovat a standardizovat proces získání certifikátu. A vyloučení lidského faktoru pomůže zvýšit spolehlivost a bezpečnost ověřování doménového jména.
Standard je otevřený a každý, kdo chce, se může podílet na jeho vývoji. V jsou publikovány příslušné pokyny.
Jak to funguje
Výměna požadavků v ACME probíhá přes HTTPS pomocí JSON zpráv. Pro práci s protokolem je třeba nainstalovat na cílový uzel ACME klienta, který při prvním kontaktu s CA vygeneruje unikátní pár klíčů. Ty budou následně používány pro podepisování všech zpráv klienta a serveru.
První zpráva obsahuje kontaktní informace o vlastníkovi domény. Je podepsána soukromým klíčem a spolu s veřejným klíčem je odeslána serveru. Ten ověřuje platnost podpisu a pokud je vše v pořádku, zahajuje proces vydání SSL certifikátu.
Aby klient získal certifikát, musí serveru dokázat vlastnictví domény. K tomu provede určité akce, které jsou k dispozici pouze vlastníkovi. Například certifikační centrum může vygenerovat unikátní token a požádat klienta, aby ho umístil na web. Následně CA vytvoří webový nebo DNS požadavek pro extrakci klíče z tohoto tokenu.
Například v případě HTTP je klíč z tokenu nutné umístit do souboru, který bude spravován webovým serverem. Při DNS ověření certifikační autorita hledá unikátní klíč v textovém dokumentu DNS záznamu. Pokud je vše v pořádku, server potvrzuje, že klient úspěšně prošel validací a CA vydává certifikát.
/ Flickr / /
Názory
Podle IETF, ACME bude užitečné pro administrátory, kteří musí pracovat s více doménovými jmény. Standard pomůže každé z nich spojit s potřebnými SSL.
Mezi výhodami standardu odborníci také uvádějí několik . Ty musí zaručit, že SSL certifikáty jsou vydávány pouze skutečným vlastníků domén. Zejména pro ochranu před DNS útoky se používá soubor rozšíření , a pro ochranu před DoS standard omezuje rychlost provádění jednotlivých požadavků — například HTTP pro metodu . Samotní vývojáři ACME pro zvýšení bezpečnosti přidávat entropii k DNS požadavkům a realizovat je z několika míst sítě.
Podobná řešení
K získání certifikátů se také používají protokoly a .
První byl vyvinut ve společnosti Cisco Systems. Jeho cílem bylo zjednodušit proceduru vydávání digitálních certifikátů X.509 a učinit ji co nejvíce škálovatelnou. Před vznikem SCEP tento proces vyžadoval aktivní účast systémových administrátorů a špatně se škáloval. Dnes je tento protokol jedním z nejrozšířenějších.
Pokud jde o EST, umožňuje PKI klientům získávat certifikáty po bezpečných kanálech. Používá TLS pro přenos zpráv a vydávání SSL, stejně jako pro vazbu CSR na odesílatele. Kromě toho EST podporuje metody elliptické kryptografie, což vytváří další úroveň ochrany.
Podle , řešení jako ACME by měla získat širší popularitu. Nabízejí zjednodušený a bezpečný model nastavení SSL a zrychlují proces.
Další příspěvky z našeho firemního blogu:
Zdroj: habr.com
