, a společně oznámili nové TLS rozšíření (DC), který řeší problém s certifikáty při organizaci přístupu na web prostřednictvím sítí dodání obsahu. Certifikáty vydávané certifikačními autoritami mají dlouhou dobu platnosti, což vytváří obtíže při nutnosti organizace přístupu na web prostřednictvím třetí služby, za kterou by se mělo navazovat zabezpečené spojení, protože předání certifikátu webu externí službě vytváří další bezpečnostní hrozby.
Nové rozšíření může také být užitečné pro weby, jejichž provoz zajišťuje velká distribuovaná infrastruktura s mnoha vyvažovači zátěže. Delegated Credentials umožní vyhnout se ukládání kopií soukromých klíčů hlavních certifikátů na každém uzlu dodání obsahu. Při klasickém přístupu úspěšný útok na jakýkoli ze serverů, které se podílejí na dodání HTTPS provozu, povede k zkompromitování celého certifikátu. V případě předání soukromých klíčů sítím dodání obsahu vznikají hrozby úniku dat v důsledku diverze ze strany personálu, akcí tajných služeb nebo zkompromitování infrastruktury CDN.
Pokud únik klíčů zůstane nezpozorován, ti, kteří získali přístup k klíčům, mohou po dostatečně dlouhou dobu nenápadně zasahovat do provozu webu (MITM), protože doby platnosti certifikátů se počítají měsíci a lety. V Cloudflare pro ochranu klíčů certifikátů mohou speciální klíčové servery pracující na straně vlastníka webu, ale práce v takovém režimu vede k výraznému zpoždění při dodání provozu, snižuje spolehlivost kvůli vytvoření dalšího článku a vyžaduje nasazení složité infrastruktury.
Navrhované TLS rozšíření Delegated Credentials zavádí do užívání další mezilehlý soukromý klíč, jehož doba platnosti je omezena na hodiny nebo několik dnů (maximálně 7 dní). Tento klíč je generován na základě certifikátu vydaného certifikační autoritou a umožňuje udržet soukromý klíč původního certifikátu v tajnosti před službami dodání obsahu tím, že jim poskytne pouze dočasný certifikát s krátkou dobou platnosti.
Aby se předešlo problémům s přístupem po vypršení platnosti mezilehlého klíče, je zavedena technologie automatické aktualizace, prováděná na straně původního TLS serveru. Pro generaci nejsou vyžadovány žádné ruční operace ani spouštění skriptů – autorizovaný server, který potřebuje soukromý klíč, se před vypršením platnosti předchozího klíče obrátí na původní TLS server webu, který vygeneruje mezilehlý klíč na určité krátké časové období.
Prohlížeče podporující TLS rozšíření Delegated Credentials budou takové odvozené certifikáty považovat za důvěryhodné. Například podpora tohoto rozšíření byla již přidána do nočních sestavení a beta verzí Firefoxu a může být aktivována v about:config změnou nastavení „security.tls.enable_delegated_credentials“. V polovině listopadu se mezi určité procento uživatelů testovacích verzí Firefoxu také plánuje experiment "‘, v rámci kterého bude odeslán testovací požadavek na DC server Cloudflare, aby se ověřila kvalita implementace nového TLS rozšíření. Podpora Delegated Credentials je také již vestavěna do knihovny s implementací TLS 1.3.
Specifikace Delegated Credentials byla předána do výboru IETF (Internet Engineering Task Force), který se zabývá rozvojem protokolů a architektury internetu, a nachází se ve stádiu , který usiluje o status internetového standardu. Rozšíření Delegated Credentials lze používat pouze s TLSv1.3.
Pro generaci mezilehlých klíčů je třeba získat TLS certifikát, který obsahuje speciální rozšíření X.509, jež v současnosti podporuje pouze certifikační autorita DigiCert.
Zdroj: opennet.ru
