, og samarbejdede om at annoncere en ny TLS-udvidelse (DC), der løser problemet med certifikater ved adgang til websitet gennem indholdsleveringsnetværk. De certifikater, der udstedes af certifikationsmyndigheder, har lang holdbarhed, hvilket skaber vanskeligheder ved behovet for adgang til websitet gennem en tredjepartstjeneste, som skal etablere en sikker forbindelse, da overførsel af webstedets certifikat til den eksterne tjeneste skaber yderligere sikkerhedstrusler.
Den nye udvidelse kan også vise sig at være nyttig for websteder, hvis drift understøttes af en stor distribueret infrastruktur med et stort antal belastningsbalancerere. Delegated Credentials vil muliggøre undgåelse af opbevaring af kopier af de private nøgler for hovedcertifikaterne på hver node, der leverer indhold. Ved den klassiske tilgang vil en vellykket angreb på en hvilken som helst af serverne, der deltager i levering af HTTPS-trafik, føre til kompromittering af hele certifikatet. I tilfælde af overførsel af private nøgler til indholdsleveringsnetværk opstår der trusler om datalækage som følge af sabotage fra personale, agenter eller kompromittering af CDN-infrastrukturen.
Hvis lækagen af nøgler forbliver uopdaget, kan dem, der har fået adgang til nøglerne, i en længere periode ubemærket indsætte sig i webtrafikken (MITM), da certifikatets gyldighedsperioder varierer fra måneder til år. I Cloudflare er der specialiserede nøgletjenerservere, der arbejder på ejerens side af websitet for at beskytte certifikatnøglerne, men drift i dette mode fører til mærkbare forsinkelser i trafiklevering, reducerer pålideligheden på grund af det ekstra led og kræver implementering af en kompliceret infrastruktur. Det foreslåede TLS-udvidelse Delegated Credentials introducerer en ekstra mellemliggende privat nøgle, hvis gyldighedsperiode er begrænset til timer eller nogle dage (maksimalt 7 dage). Denne nøgle genereres på basis af det certifikat, der er udstedt af certifikationsmyndigheden, og muliggør, at den private nøgle for det oprindelige certifikat forbliver skjult for indholdsleveringstjenesterne, ved kun at give dem et midlertidigt certifikat med kort levetid.
Denne metode sikrer, at den private nøgle forbliver hemmelig, hvilket reducerer risikoen for datalækage og forbedrer sikkerheden ved brug af indholdsleveringsnetværk.
For at undgå adgangsproblemer efter udløbet af livscyklussen for den midlertidige nøgle er der en teknologi til automatisk opdatering, der udføres på den oprindelige TLS-server. Genereringen kræver ikke manuel intervention eller kørsel af scripts — den autoriserede server, som har brug for den private nøgle, kontakter den oprindelige TLS-server på hjemmesiden før udløbet af den forrige nøgle, og den genererer en ny midlertidig nøgle for en kortere periode.
Browsere, der understøtter TLS-udvidelsen Delegated Credentials, vil opfatte sådanne afledte certifikater som betroede. For eksempel er understøttelsen af denne udvidelse allerede tilføjet i nattesamlinger og beta-versioner af Firefox og kan aktiveres i about:config ved at ændre indstillingen "security.tls.enable_delegated_credentials". I midten af november planlægges der også et eksperiment blandt en vis procentdel af brugerne af Firefox-testversioner.I forbindelse med dette eksperiment vil der blive sendt en testanmodning til DC-serveren Cloudflare for at evaluere kvaliteten af implementeringen af den nye TLS-udvidelse. Understøttelse af Delegated Credentials er også allerede integreret i biblioteket med implementering af TLS 1.3.
Specifikationen for Delegated Credentials er blevet sendt til IETF (Internet Engineering Task Force), der arbejder med udvikling af internetprotokoller og -arkitektur, og er i , som sigter mod at blive en internet-standard. Udvidelsen Delegated Credentials kan kun anvendes med TLSv1.3.
For at generere midlertidige nøgler kræves der et TLS-certifikat, der inkluderer en særlig X.509-udvidelse, som i øjeblikket kun understøttes af certifikatudstederen DigiCert.
Kilde: opennet.ru
