, und gemeinsam eine neue TLS-Erweiterung angekündigt (DC), das das Problem von Zertifikaten bei der Bereitstellung des Zugangs zu Websites über Content Delivery Networks löst. Die von Zertifizierungsstellen ausgegebenen Zertifikate haben eine lange Laufzeit, was Probleme mit sich bringt, wenn der Zugriff auf eine Website über einen externen Dienst organisiert werden muss, über den eine gesicherte Verbindung hergestellt werden sollte, da das Übertragen des Zertifikats der Website an den externen Dienst zusätzliche Sicherheitsrisiken birgt.
Die neue Erweiterung könnte auch für Websites nützlich sein, deren Betrieb auf einer großen verteilten Infrastruktur mit zahlreichen Lastenausgleichsservern basiert. Delegierte Berechtigungen ermöglichen es, Kopien der privaten Schlüssel der Hauptzertifikate an jedem Knoten, der Inhalte bereitstellt, zu vermeiden. Bei der klassischen Vorgehensweise würde ein erfolgreicher Angriff auf einen beliebigen Server, der am Bereitstellen von HTTPS-Datenverkehr beteiligt ist, zur Kompromittierung des gesamten Zertifikats führen. Bei der Übertragung der privaten Schlüssel an Content Delivery Networks treten Risiken eines Datenlecks auf, die durch Sabotage von Mitarbeitern, Handlungen von Geheimdiensten oder die Kompromittierung der CDN-Infrastruktur verursacht werden können.
Wenn ein Schlüsselleck unentdeckt bleibt, können diejenigen, die Zugriff auf die Schlüssel erhalten haben, für längere Zeit unbemerkt in den Datenverkehr der Website eingreifen (MITM), da die Gültigkeitsdauer von Zertifikaten in Monaten und Jahren gemessen wird. Bei Cloudflare können zur Sicherung der Zertifikatsschlüssel spezielle Schlüsselserver eingesetzt werden, die auf der Seite des Website-Besitzers arbeiten, aber der Betrieb in diesem Modus führt zu spürbaren Verzögerungen bei der Datenübertragung, verringert die Zuverlässigkeit aufgrund eines zusätzlichen Gliedes und erfordert die Bereitstellung einer komplexen Infrastruktur.
Die vorgeschlagene TLS-Erweiterung "Delegierte Berechtigungen" führt einen zusätzlichen, zeitlich begrenzten privaten Schlüssel ein, dessen Wirkdauer auf Stunden oder einige Tage (maximal 7 Tage) beschränkt ist. Dieser Schlüssel wird basierend auf dem von der Zertifizierungsstelle ausgegebenen Zertifikat generiert und ermöglicht es, den privaten Schlüssel des ursprünglichen Zertifikats vor den Content Delivery Services geheim zu halten, indem nur ein temporäres Zertifikat mit kurzer Lebensdauer bereitgestellt wird.
Um Probleme mit dem Zugriff nach Ablauf der Lebensdauer des Zwischenzertifikats zu vermeiden, wurde eine Technologie zur automatischen Aktualisierung entwickelt, die auf der Seite des ursprünglichen TLS-Servers durchgeführt wird. Für die Generierung sind keine manuellen Eingriffe oder das Ausführen von Skripten erforderlich – der authentifizierte Server, der einen privaten Schlüssel benötigt, wendet sich vor Ablauf der Lebensdauer des vorherigen Schlüssels an den ursprünglichen TLS-Server der Website und dieser generiert ein Zwischenzertifikat für einen weiteren kurzen Zeitraum.
Browser, die die TLS-Erweiterung Delegated Credentials unterstützen, werden solche abgeleiteten Zertifikate als vertrauenswürdig ansehen. Beispielsweise wurde die Unterstützung dieser Erweiterung bereits in nächtliche Builds und Beta-Versionen von Firefox integriert und kann über die Änderung der Einstellung „security.tls.enable_delegated_credentials“ in about:config aktiviert werden. Mitte November ist auch ein Experiment unter einem bestimmten Prozentsatz von Benutzern der Testversionen von Firefox geplant, um die Qualität der Implementierung der neuen TLS-Erweiterung zu überprüfen.Im Rahmen dessen wird eine Testanfrage an den DC-Server von Cloudflare gesendet. Die Unterstützung von Delegated Credentials ist auch bereits in die Bibliothek mit der Implementierung von TLS 1.3 eingebaut.
Die Spezifikation der Delegated Credentials wurde an das IETF-Komitee (Internet Engineering Task Force) übergeben, das sich mit der Entwicklung von Protokollen und der Architektur des Internets befasst, und befindet sich in einem Antrag auf den Status eines Internetstandards. Die Erweiterung Delegated Credentials kann nur mit TLSv1.3 verwendet werden.
Für die Generierung von Zwischenzertifikaten ist der Erhalt eines TLS-Zertifikats erforderlich, das eine spezielle X.509-Erweiterung umfasst, die derzeit nur vom Zertifikatsanbieter DigiCert unterstützt wird.
Quelle: opennet.ru
