Nekomerní certifikační centrum , řízené komunitou a poskytující certifikáty zdarma všem zájemcům, o zavedení nového schématu potvrzení oprávnění k získání certifikátu pro doménu. Přístup k serveru, na kterém je umístěn ověřovací katalog „/.well-known/acme-challenge/“, nyní probíhá pomocí několika HTTP požadavků zasílaných ze 4 různých IP adres, umístěných v různých datových centrech a patřících k různým autonomním systémům. Ověření je považováno za úspěšné pouze tehdy, pokud minimálně 3 ze 4 požadavků z různých IP byly úspěšné.
Ověření z několika podsítí minimalizuje rizika získání certifikátů na cizí domény prostřednictvím cílených útoků, které přesměrovávají provoz pomocí podvržených tras pomocí BGP. Při použití multipozicového systému ověřování bude pro útočníka mnohem obtížnější současně dosáhnout přesměrování tras pro několik autonomních systémů poskytovatelů s různými uplinky než přesměrování jediné trasy. Odesílání požadavků z různých IP navíc zvýší spolehlivost ověření v případě, že by jednotlivé hostitele Let’s Encrypt byly zařazeny na černou listinu (například v RF některé IP letsencrypt.org byly zablokovány Roskomnadzorem).
Do 1. června bude platit přechodné období, které umožňuje generaci certifikátů při úspěšném ověření z primárního datového centra, pokud hostitel není dostupný z ostatních podsítí (například to může nastat, pokud administrátor hostitele na firewallu povolil požadavky pouze z hlavního datového centra Let’s Encrypt nebo kvůli porušení synchronizace zón v DNS). Na základě protokolů bude připraven bílý seznam pro domény, u kterých se vyskytly problémy s ověřením z 3 dalších datových center. Do bílého seznamu budou zařazeny pouze domény se vyplněnými kontaktními údaji. Pokud doména nebyla automaticky zařazena do bílého seznamu, žádost o zařazení může být také odeslána prostřednictvím .
V současnosti projekt Let’s Encrypt vydal 113 milionů certifikátů, které pokrývají přibližně 190 milionů domén (před rokem to bylo pokryto 150 milionů domén, a před dvěma lety - 61 milionů). Podle statistik služby Firefox Telemetry činí celosvětový podíl požadavků na stránky přes HTTPS 81 % (před rokem 77 %, před dvěma lety 69 %), a v USA to je 91 %.
Dále lze zmínit, společnost Apple
ukončí v prohlížeči Safari důvěru v certifikáty, jejichž doba platnosti přesahuje 398 dní (13 měsíců). Omezení se plánuje zavést pouze pro certifikáty vydané od 1. září 2020. Pro certifikáty získané před 1. zářím s dlouhou dobou platnosti zůstane důvěra zachována, ale omezena na 825 dní (2,2 roku).
Změna může negativně ovlivnit podnikání certifikačních autorit, které prodávají levné certifikáty s dlouhou dobou platnosti až 5 let. Podle názoru Apple generování takových certifikátů představuje další bezpečnostní hrozby, brání rychlému zavádění nových kryptostandardů a umožňuje útočníkům dlouhodobě kontrolovat provoz oběti nebo jej použít pro phishing v případě nenápadného úniku certifikátu v důsledku hacknutí.
Zdroj: opennet.ru
