CA/Browser Forum, der fungerer som en platform for fælles beslutningstagning, der tager hensyn til interessene hos browserproducenter og certifikatudstedere, har vedtaget nye krav til organisationer, der udsteder certifikater til HTTPS. De nye krav erklærer 11 metoder til verificering af domæneejerskab, for hvilket certifikatet udstedes, som forældede. Afbrydelse af support for de forældede metoder vil ske trinvist indtil marts 2028. Ikke-understøttende metoder fremhæves, da fokus rettes mod automatisk udførte og kryptografisk bekræftede verificeringsmetoder.
Forældede metoder omfatter dem, der er knyttet til brugen af oplysninger fra WHOIS-tjenesten, bekræftelse af kontaktoplysninger via e-mail, telefonopkald, fax, SMS eller papirbreve, samt verificering baseret på kontrol af IP-adressen, der er angivet for domænet i DNS. Det forventes, at afbrydelsen af støtten til de nævnte verificeringsmetoder vil fjerne smuthuller, der potentielt har givet angribere mulighed for at opnå et certifikat for domænet, som de ikke kontrollerer. For eksempel blev det for et år siden demonstreret, hvordan man kunne få TLS-certifikater til andres domæner i zonen '.mobi' ved at overtage den forældede WHOIS-service fra registratoren for denne domænezone.
Listen over metoder til bekræftelse af domæneejerskab, der er blevet erklæret som forældede:
- Afsendelse af e-mail, fax, SMS eller papirbrev til kontaktoplysningerne angivet for domænet i WHOIS-databasen eller i SOA-posten i DNS.
- Afsendelse af e-mail, fax, SMS eller papirbrev til kontaktoplysningerne angivet for det tilknyttede domæne IP-adresser.
- Afsendelse af bekræftelseskode til standard e-mails såsom admin@, administrator@, webmaster@, hostmaster@ og postmaster@.
- Afsendelse af bekræftelseskode til den e-mail, der er angivet i CAA-posten for domænet i DNS.
- Afsendelse af bekræftelseskode til den e-mail, der er angivet i TXT-posten for domænet i DNS.
- Bekræftelse via telefonopkald til nummeret angivet som kontakt for domænet.
- Bekræftelse via telefonopkald til nummeret angivet i TXT-posten for domænet i DNS.
- Bekræftelse via telefonopkald til nummeret angivet i CAA-posten for domænet i DNS.
- Bekræftelse via telefonopkald til nummeret angivet som kontakt for IP-adressen, som domænet er knyttet til.
- Kontrol på grundlag af bekræftelse af ejerskab af IP-adressen, der er angivet for domænet i DNS.
- Kontrol baseret på omvendt IP-opløsning.
Kilde: opennet.ru
