IETF godkendte Automatisk Certifikatstyringsmiljø (ACME), som vil hjælpe med at automatisere modtagelsen af SSL-certifikater. Vi vil forklare, hvordan det fungerer.
/ Flickr / /
Hvorfor standarden var nødvendig
I gennemsnit kan en administrator bruge fra en til tre timer på at konfigurere et domæne. Hvis der opstår en fejl, må man vente på, at anmodningen bliver afvist, og først derefter kan man indsende den igen. Alt dette besværliggør udrulningen af storskalasystemer.
Valideringsproceduren for domænet kan variere mellem certifikationscentre. Manglende standardisering fører nogle gange til sikkerhedsproblemer. Et kendt , hvor en CA på grund af en fejl i systemet bekræftede alle anmeldte domæner. I sådanne situationer kan SSL-certifikater blive udstedt til svindlende ressourcer.
Den godkendte IETF-protokol ACME (specifikation ) skal automatisere og standardisere processen for at få certifikatet. Udelukkelse af den menneskelige faktor vil hjælpe med at øge pålideligheden og sikkerheden ved validering af domænenavnet.
Standarden er åben, og alle interesserede kan bidrage til dens udvikling. I er der publiceret relevante instruktioner.
Hvordan fungerer det
Udvekslingen af anmodninger i ACME sker via HTTPS ved hjælp af JSON-beskeder. For at arbejde med protokollen er det nødvendigt at installere en ACME-klient på målmaskinen, som genererer et unikt nøglepar ved første kontakt med CA. Derefter vil de blive brugt til at underskrive alle klient- og serverbeskeder.
Den første besked indeholder kontaktoplysninger for domæneejeren. Den underskrives med den private nøgle og sendes sammen med den offentlige nøgle til serveren. Serveren kontrollerer ægtheden af underskriften, og hvis alt er i orden, starter proceduren for udstedelse af SSL-certifikatet.
For at få certifikatet skal klienten bevise over for serveren, at de ejer domænet. For dette udfører de bestemte handlinger, som kun ejeren har adgang til. For eksempel kan certifikationscentret generere en unik token og bede klienten om at placere den på hjemmesiden. Derefter danner CA en web- eller DNS-anmodning for at hente nøglen fra denne token.
For example, in the case of HTTP, the key from the token must be placed in a file that will be served by the web server. During DNS verification, the certificate authority will look for a unique key in the text document of the DNS record. If everything is in order, the server confirms that the client has been validated, and the CA issues the certificate.
/ Flickr / /
Meninger
Ifølge IETF, ACME will be useful for administrators who have to work with multiple domain names. The standard helps link each of them with the required SSL.
Among the advantages of the standard, experts also note several . They must ensure that SSL certificates are issued only to the legitimate owners of the domains. Specifically, a set of extensions is used to protect against DNS attacks, and to protect against DoS, the standard limits the execution speed of individual requests — for example, HTTP for the method . The ACME developers themselves add entropy to DNS queries and perform them from multiple points in the network to enhance security.
Det første selskab til virtualisering af grafiske processorer
Protocols are also used to obtain certificates, og .
The former was developed at Cisco Systems. Its goal was to simplify the procedure for issuing X.509 digital certificates and make it as scalable as possible. Before the advent of SCEP, this process required active involvement from system administrators and did not scale well. Today, this protocol is one of the most widely used.
As for EST, it allows PKI clients to obtain certificates over secure channels. It uses TLS for message transmission and SSL issuance, as well as to bind the CSR to the sender. Additionally, EST supports methods of elliptic cryptography, adding an extra level of protection.
Ifølge solutions like ACME will need to gain wider adoption. They provide a simplified and secure model for configuring SSL and also speed up the process.
Additional posts from our corporate blog:
Kilde: habr.com
