{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"IETF schv\u00e1lil ACME \u2014 standard pro pr\u00e1ci se SSL certifik\u00e1ty","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

IETF schv\u00e1lil standard<\/a><\/noindex> Automatizovan\u00e9 prost\u0159ed\u00ed pro spr\u00e1vu certifik\u00e1t\u016f (ACME), kter\u00e9 pom\u016f\u017ee automatizovat z\u00edsk\u00e1v\u00e1n\u00ed SSL certifik\u00e1t\u016f. Vysv\u011btl\u00edme, jak to funguje.<\/p>\n

\"IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Pro\u010d byl standard pot\u0159eba<\/h2>\n

\nPr\u016fm\u011brn\u011b m\u016f\u017ee administr\u00e1tor na nastaven\u00ed SSL certifik\u00e1tu<\/a><\/noindex> dom\u00e9ny str\u00e1vit od jedn\u00e9 do t\u0159\u00ed hodin. Pokud dojde k chyb\u011b, bude muset \u010dekat, a\u017e bude \u017e\u00e1dost zam\u00edtnuta, a teprve pot\u00e9 ji m\u016f\u017ee znovu podat. To v\u0161e zt\u011b\u017euje nasazen\u00ed rozs\u00e1hl\u00fdch syst\u00e9m\u016f.<\/p>\n

Postup ov\u011b\u0159en\u00ed dom\u00e9ny se m\u016f\u017ee u ka\u017ed\u00e9ho certifika\u010dn\u00edho centra li\u0161it. Nedostatek standardizace m\u016f\u017ee \u010das od \u010dasu v\u00e9st k probl\u00e9m\u016fm s bezpe\u010dnost\u00ed. Je zn\u00e1m p\u0159\u00edpad<\/a><\/noindex>, kdy kv\u016fli chyb\u011b v syst\u00e9mu jeden CA ov\u011b\u0159il v\u0161echny uveden\u00e9 dom\u00e9ny. V takov\u00fdch situac\u00edch mohou b\u00fdt SSL certifik\u00e1ty vyd\u00e1v\u00e1ny podvodn\u00fdm zdroj\u016fm.<\/p>\n

Schv\u00e1len\u00fd protokol IETF ACME (specifikace RFC8555<\/a><\/noindex>) by m\u011bl automatizovat a standardizovat proces z\u00edsk\u00e1n\u00ed certifik\u00e1tu. A vylou\u010den\u00ed lidsk\u00e9ho faktoru pom\u016f\u017ee zv\u00fd\u0161it spolehlivost a bezpe\u010dnost ov\u011b\u0159ov\u00e1n\u00ed dom\u00e9nov\u00e9ho jm\u00e9na.<\/p>\n

Standard je otev\u0159en\u00fd a ka\u017ed\u00fd, kdo chce, se m\u016f\u017ee pod\u00edlet na jeho v\u00fdvoji. V repozit\u00e1\u0159i na GitHubu<\/a><\/noindex> jsou publikov\u00e1ny p\u0159\u00edslu\u0161n\u00e9 pokyny.<\/p>\n

Jak to funguje<\/h2>\n

\nV\u00fdm\u011bna po\u017eadavk\u016f v ACME prob\u00edh\u00e1 p\u0159es HTTPS pomoc\u00ed JSON zpr\u00e1v. Pro pr\u00e1ci s protokolem je t\u0159eba nainstalovat na c\u00edlov\u00fd uzel ACME klienta, kter\u00fd p\u0159i prvn\u00edm kontaktu s CA vygeneruje unik\u00e1tn\u00ed p\u00e1r kl\u00ed\u010d\u016f. Ty budou n\u00e1sledn\u011b pou\u017e\u00edv\u00e1ny pro podepisov\u00e1n\u00ed v\u0161ech zpr\u00e1v klienta a serveru.<\/p>\n

Prvn\u00ed zpr\u00e1va obsahuje kontaktn\u00ed informace o vlastn\u00edkovi dom\u00e9ny. Je podeps\u00e1na soukrom\u00fdm kl\u00ed\u010dem a spolu s ve\u0159ejn\u00fdm kl\u00ed\u010dem je odesl\u00e1na serveru. Ten ov\u011b\u0159uje platnost podpisu a pokud je v\u0161e v po\u0159\u00e1dku, zahajuje proces vyd\u00e1n\u00ed SSL certifik\u00e1tu.<\/p>\n

Aby klient z\u00edskal certifik\u00e1t, mus\u00ed serveru dok\u00e1zat vlastnictv\u00ed dom\u00e9ny. K tomu provede ur\u010dit\u00e9 akce, kter\u00e9 jsou k dispozici pouze vlastn\u00edkovi. Nap\u0159\u00edklad certifika\u010dn\u00ed centrum m\u016f\u017ee vygenerovat unik\u00e1tn\u00ed token a po\u017e\u00e1dat klienta, aby ho um\u00edstil na web. N\u00e1sledn\u011b CA vytvo\u0159\u00ed webov\u00fd nebo DNS po\u017eadavek pro extrakci kl\u00ed\u010de z tohoto tokenu.<\/p>\n

Nap\u0159\u00edklad v p\u0159\u00edpad\u011b HTTP je kl\u00ed\u010d z tokenu nutn\u00e9 um\u00edstit do souboru, kter\u00fd bude spravov\u00e1n webov\u00fdm serverem. P\u0159i DNS ov\u011b\u0159en\u00ed certifika\u010dn\u00ed autorita hled\u00e1 unik\u00e1tn\u00ed kl\u00ed\u010d v textov\u00e9m dokumentu DNS z\u00e1znamu. Pokud je v\u0161e v po\u0159\u00e1dku, server potvrzuje, \u017ee klient \u00fasp\u011b\u0161n\u011b pro\u0161el validac\u00ed a CA vyd\u00e1v\u00e1 certifik\u00e1t.<\/p>\n

\"IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

N\u00e1zory<\/h2>\n

\nPodle slov<\/a><\/noindex> IETF, ACME bude u\u017eite\u010dn\u00e9 pro administr\u00e1tory, kte\u0159\u00ed mus\u00ed pracovat s v\u00edce dom\u00e9nov\u00fdmi jm\u00e9ny. Standard pom\u016f\u017ee ka\u017ed\u00e9 z nich spojit s pot\u0159ebn\u00fdmi SSL.<\/p>\n

Mezi v\u00fdhodami standardu odborn\u00edci tak\u00e9 uv\u00e1d\u011bj\u00ed n\u011bkolik bezpe\u010dnostn\u00edch mechanism\u016f<\/a><\/noindex>. Ty mus\u00ed zaru\u010dit, \u017ee SSL certifik\u00e1ty jsou vyd\u00e1v\u00e1ny pouze skute\u010dn\u00fdm vlastn\u00edk\u016f dom\u00e9n. Zejm\u00e9na pro ochranu p\u0159ed DNS \u00fatoky se pou\u017e\u00edv\u00e1 soubor roz\u0161\u00ed\u0159en\u00ed DNSSEC<\/a><\/noindex>, a pro ochranu p\u0159ed DoS standard omezuje rychlost prov\u00e1d\u011bn\u00ed jednotliv\u00fdch po\u017eadavk\u016f \u2014 nap\u0159\u00edklad HTTP pro metodu POST<\/a><\/noindex>. Samotn\u00ed v\u00fdvoj\u00e1\u0159i ACME doporu\u010duj\u00ed<\/a><\/noindex> pro zv\u00fd\u0161en\u00ed bezpe\u010dnosti p\u0159id\u00e1vat entropii k DNS po\u017eadavk\u016fm a realizovat je z n\u011bkolika m\u00edst s\u00edt\u011b.<\/p>\n

Podobn\u00e1 \u0159e\u0161en\u00ed<\/h2>\n

\nK z\u00edsk\u00e1n\u00ed certifik\u00e1t\u016f se tak\u00e9 pou\u017e\u00edvaj\u00ed protokoly SCEP<\/a><\/noindex> a EST<\/a><\/noindex>.<\/p>\n

Prvn\u00ed byl vyvinut ve spole\u010dnosti Cisco Systems. Jeho c\u00edlem bylo zjednodu\u0161it proceduru vyd\u00e1v\u00e1n\u00ed digit\u00e1ln\u00edch certifik\u00e1t\u016f X.509 a u\u010dinit ji co nejv\u00edce \u0161k\u00e1lovatelnou. P\u0159ed vznikem SCEP tento proces vy\u017eadoval aktivn\u00ed \u00fa\u010dast syst\u00e9mov\u00fdch administr\u00e1tor\u016f a \u0161patn\u011b se \u0161k\u00e1loval. Dnes je tento protokol jedn\u00edm z nejroz\u0161\u00ed\u0159en\u011bj\u0161\u00edch.<\/p>\n

Pokud jde o EST, umo\u017e\u0148uje PKI klient\u016fm z\u00edsk\u00e1vat certifik\u00e1ty po bezpe\u010dn\u00fdch kan\u00e1lech. Pou\u017e\u00edv\u00e1 TLS pro p\u0159enos zpr\u00e1v a vyd\u00e1v\u00e1n\u00ed SSL, stejn\u011b jako pro vazbu CSR na odes\u00edlatele. Krom\u011b toho EST podporuje metody elliptick\u00e9 kryptografie, co\u017e vytv\u00e1\u0159\u00ed dal\u0161\u00ed \u00farove\u0148 ochrany.<\/p>\n

Podle podle odborn\u00edk\u016f<\/a><\/noindex>, \u0159e\u0161en\u00ed jako ACME by m\u011bla z\u00edskat \u0161ir\u0161\u00ed popularitu. Nab\u00edzej\u00ed zjednodu\u0161en\u00fd a bezpe\u010dn\u00fd model nastaven\u00ed SSL a zrychluj\u00ed proces.<\/p>\n

Dal\u0161\u00ed p\u0159\u00edsp\u011bvky z na\u0161eho firemn\u00edho blogu:<\/h5>\n

<\/p>\n