Nicht-kommerzielles Zertifizierungszentrum , das von der Gemeinschaft betrieben wird und allen Interessierten kostenlos Zertifikate zur Verfügung stellt, zur Einführung eines neuen Schemas zur Bestätigung der Berechtigung zur Zertifikatserlangung für eine Domain. Der Zugriff auf den Server, auf dem das zur Überprüfung verwendete Verzeichnis «/.well-known/acme-challenge/» gehostet wird, erfolgt nun über mehrere HTTP-Anfragen, die von 4 verschiedenen IP-Adressen gesendet werden, die sich in unterschiedlichen Rechenzentren befinden und zu verschiedenen autonomen Systemen gehören. Die Prüfung wird nur als erfolgreich anerkannt, wenn mindestens 3 der 4 Anfragen von unterschiedlichen IP-Adressen erfolgreich waren.
Eine Überprüfung von mehreren Subnetzen trägt dazu bei, die Risiken beim Erhalt von Zertifikaten für fremde Domains durch gezielte Angriffe zu minimieren, die den Verkehr durch die Umleitung gefälschter Routen mittels BGP leiten. Bei der Verwendung eines multi-positionierten Verifizierungssystems muss der Angreifer gleichzeitig die Umleitung der Routen für mehrere autonome Systeme von Anbietern mit unterschiedlichen Upstreams erreichen, was erheblich komplizierter ist als die Umleitung einer einzelnen Route. Darüber hinaus erhöht das Senden von Anfragen von verschiedenen IP-Adressen die Zuverlässigkeit der Überprüfung, falls einzelne Hostnamen von Let’s Encrypt auf Sperrlisten geraten (zum Beispiel wurden in Russland einige IP-Adressen von letsencrypt.org von Roskomnadzor blockiert).
Bis zum 1. Juni gilt eine Übergangsphase, die die Generierung von Zertifikaten bei erfolgreichem Abschluss der Überprüfung aus dem primären Rechenzentrum ermöglicht, falls der Host aus anderen Subnetzen nicht erreichbar ist (dies kann beispielsweise passieren, wenn der Administrator des Hosts an der Firewall Anfragen nur vom Hauptrechenzentrum von Let’s Encrypt erlaubt hat oder aufgrund von DNS-Zonensynchronisierungsproblemen). Auf Grundlage der Protokolle wird eineWhitelist für Domains erstellt, bei denen Probleme mit der Überprüfung von 3 zusätzlichen Rechenzentren festgestellt wurden. In die Whitelist aufgenommen werden nur Domains mit ausgefüllten Kontaktdaten. Falls eine Domain nicht automatisch in die Whitelist aufgenommen wird, kann auch eine Anfrage zur Aufnahme über die .
Aktuell wurden vom Let’s Encrypt-Projekt 113 Millionen Zertifikate ausgegeben, die etwa 190 Millionen Domains abdecken (vor einem Jahr waren es 150 Millionen Domains und vor zwei Jahren 61 Millionen). Laut den Statistiken des Firefox Telemetry-Dienstes beträgt der weltweite Anteil der Seitenaufrufe über HTTPS 81% (vor einem Jahr 77%, vor zwei Jahren 69%), und in den USA sind es 91%.
Zusätzlich ist zu erwähnen, Unternehmen Apple
In Safari wird das Vertrauen in Zertifikate eingestellt, deren Lebensdauer 398 Tage (13 Monate) überschreitet. Diese Einschränkung gilt nur für Zertifikate, die ab dem 1. September 2020 ausgestellt wurden. Für Zertifikate, die vor dem 1. September ausgestellt wurden und eine lange Laufzeit haben, bleibt das Vertrauen bestehen, ist jedoch auf 825 Tage (2,2 Jahre) begrenzt.
Diese Änderung könnte sich negativ auf das Geschäft von Zertifizierungsstellen auswirken, die günstige Zertifikate mit langen Laufzeiten von bis zu 5 Jahren verkaufen. Apple ist der Meinung, dass die Erstellung solcher Zertifikate zusätzliche Sicherheitsbedrohungen mit sich bringt, die zeitnahe Implementierung neuer Kryptostandards behindert und es Angreifern ermöglicht, den Datenverkehr des Opfers über längere Zeiträume zu kontrollieren oder Phishing-Angriffe durchzuführen, falls Zertifikate aufgrund eines Hacks unbemerkt abgeleitet werden.
Quelle: opennet.ru
