Nichtkommerzielles Zertifizierungszentrum , von der Gemeinschaft kontrolliert und bietet Zertifikate kostenlos für alle Interessierten an, über die Einführung eines neuen Schemas zur Bestätigung der Berechtigungen für den Erhalt eines Zertifikats für eine Domain. Der Zugriff auf den Server, auf dem das zur Prüfung verwendete Verzeichnis „/.well-known/acme-challenge/“ gehostet wird, erfolgt nun unter Verwendung mehrerer HTTP-Anfragen, die von 4 verschiedenen IP-Adressen gesendet werden, die sich in verschiedenen Rechenzentren befinden und zu unterschiedlichen autonomen Systemen gehören. Die Prüfung gilt als erfolgreich, wenn mindestens 3 von 4 Anfragen von verschiedenen IP-Adressen erfolgreich waren.
Die Überprüfung von mehreren Subnetzen wird die Risiken minimieren, dass Zertifikate für fremde Domains durch gezielte Angriffe erworben werden, die den Verkehr durch die Umleitung gefälschter Routen mittels BGP lenken. Bei Verwendung eines mehrstufigen Überprüfungssystems muss der Angreifer gleichzeitig die Umleitung von Routen für mehrere autonome Systeme von Anbietern mit unterschiedlichen Uplinks erreichen, was erheblich komplizierter ist als die Umleitung einer einzelnen Route. Darüber hinaus erhöht das Senden von Anfragen von verschiedenen IPs die Zuverlässigkeit der Überprüfung, falls einzelne Hosts von Let’s Encrypt auf Sperrlisten geraten (zum Beispiel wurden einige IPs von letsencrypt.org in Russland von Roskomnadzor blockiert).
Bis zum 1. Juni wird eine Übergangsphase gelten, die die Generierung von Zertifikaten bei erfolgreicher Prüfung aus dem primären Rechenzentrum zulässt, wenn der Host aus den anderen Subnetzen nicht erreichbar ist (zum Beispiel kann dies geschehen, wenn der Administrator des Hosts am Firewalls nur Anfragen aus dem Hauptrechenzentrum von Let’s Encrypt zulässt oder aufgrund von DNS-Zonen-Synchronisationsproblemen). Basierend auf den Protokollen wird eine weiße Liste für Domains erstellt, die Probleme mit der Überprüfung von 3 zusätzlichen Rechenzentren aufweisen. Nur Domains mit ausgefüllten Kontaktdaten werden auf die weiße Liste gesetzt. Falls eine Domain nicht automatisch auf die weiße Liste gelangt, kann ein Antrag auf Eintragung auch über .
Derzeit wurden durch das Projekt Let's Encrypt 113 Millionen Zertifikate ausgestellt, die etwa 190 Millionen Domains abdecken (vor einem Jahr waren es 150 Millionen Domains und vor zwei Jahren 61 Millionen). Laut den Statistiken des Dienstes Firefox Telemetry beträgt der weltweite Anteil der Seitenaufrufe über HTTPS 81 % (vor einem Jahr 77 %, vor zwei Jahren 69 %), in den USA sogar 91 %.
Zusätzlich kann vermerkt werden, Unternehmen Apple
das Vertrauen in Zertifikate im Safari-Browser zu beenden, deren Lebensdauer 398 Tage (13 Monate) überschreitet. Diese Einschränkung soll nur für ab dem 1. September 2020 ausgestellte Zertifikate gelten. Für vor dem 1. September ausgestellte Zertifikate mit langer Laufzeit bleibt das Vertrauen erhalten, jedoch auf 825 Tage (2,2 Jahre) begrenzt.
Diese Änderung könnte sich negativ auf das Geschäft von Zertifizierungsstellen auswirken, die günstige Zertifikate mit einer langen Laufzeit von bis zu 5 Jahren verkaufen. Laut Apple birgt die Erstellung solcher Zertifikate zusätzliche Sicherheitsrisiken, behindert die zeitnahe Einführung neuer Kryptostandards und ermöglicht es Angreifern, über einen längeren Zeitraum den Datenverkehr des Opfers zu kontrollieren oder diese für Phishing zu nutzen, falls das Zertifikat infolge eines Hacks unbemerkt abhandenkommt.
Quelle: opennet.ru
