{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"IETF hat ACME genehmigt \u2013 einen Standard f\u00fcr die Arbeit mit SSL-Zertifikaten.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

IETF hat genehmigt. Standard.<\/a><\/noindex> Das Automatic Certificate Management Environment (ACME) hilft, die Vergabe von SSL-Zertifikaten zu automatisieren. Wir erkl\u00e4ren, wie es funktioniert.<\/p>\n

\"IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Warum ein Standard erforderlich war.<\/h2>\n

\nIm Durchschnitt ben\u00f6tigt ein Administrator f\u00fcr die Konfiguration SSL-Zertifikat<\/a><\/noindex> einer Domain zwischen ein und drei Stunden. Bei Fehlern muss man warten, bis der Antrag abgelehnt wird, bevor man ihn erneut einreichen kann. Das erschwert den Einsatz gro\u00df angelegter Systeme.<\/p>\n

Das Verfahren zur Validierung von Domains kann bei verschiedenen Zertifizierungsstellen unterschiedlich sein. Mangelnde Standardisierung f\u00fchrt manchmal zu Sicherheitsproblemen. Bekannt ist Fall<\/a><\/noindex>, dass ein CA aufgrund eines Softwarefehlers alle angegebenen Domains verifiziert hat. In solchen Situationen k\u00f6nnen SSL-Zertifikate an betr\u00fcgerische Ressourcen ausgegeben werden.<\/p>\n

Das von der IETF genehmigte ACME-Protokoll (Spezifikation RFC8555<\/a><\/noindex>) soll den Prozess der Zertifikatsvergabe automatisieren und standardisieren. Die Eliminierung des menschlichen Faktors wird die Zuverl\u00e4ssigkeit und Sicherheit der Validierung des Domainnamens erh\u00f6hen.<\/p>\n

Der Standard ist offen, und jeder kann einen Beitrag zu seiner Entwicklung leisten. In im Repository auf GitHub<\/a><\/noindex> sind die entsprechenden Anleitungen ver\u00f6ffentlicht.<\/p>\n

Wie es funktioniert<\/h2>\n

\nDer Austausch von Anfragen im ACME erfolgt \u00fcber HTTPS mittels JSON-Nachrichten. Um mit dem Protokoll zu arbeiten, muss der ACME-Client auf dem Zielknoten installiert werden, der bei der ersten Anfrage an die CA ein einzigartiges Schl\u00fcsselpaar generiert. Dieses wird anschlie\u00dfend zur Signierung aller Nachrichten zwischen Client und Server verwendet.<\/p>\n

Die erste Nachricht enth\u00e4lt die Kontaktdaten des Domaininhabers. Sie wird mit dem privaten Schl\u00fcssel signiert und zusammen mit dem \u00f6ffentlichen Schl\u00fcssel an den Server gesendet. Dieser \u00fcberpr\u00fcft die Authentizit\u00e4t der Signatur und beginnt, wenn alles in Ordnung ist, den Prozess zur Ausstellung des SSL-Zertifikats.<\/p>\n

Um ein Zertifikat zu erhalten, muss der Kunde dem Server den Besitz der Domain nachweisen. Zu diesem Zweck f\u00fchrt er bestimmte Aktionen aus, die nur dem Eigent\u00fcmer zug\u00e4nglich sind. Beispielsweise kann die Zertifizierungsstelle ein einzigartiges Token generieren und den Kunden bitten, es auf der Website zu platzieren. Anschlie\u00dfend erstellt die CA einen Web- oder DNS-Anfrage, um den Schl\u00fcssel aus diesem Token zu extrahieren.<\/p>\n

Zum Beispiel muss im Falle von HTTP der Schl\u00fcssel aus dem Token in eine Datei eingelegt werden, die vom Webserver bedient wird. Bei der DNS-\u00dcberpr\u00fcfung wird die Zertifizierungsstelle nach dem einzigartigen Schl\u00fcssel in der TXT-DNS-Aufzeichnung suchen. Wenn alles in Ordnung ist, best\u00e4tigt der Server, dass der Kunde die Validierung bestanden hat, und die CA stellt das Zertifikat aus.<\/p>\n

\"IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

Meinungen<\/h2>\n

\nNach den<\/a><\/noindex> IETF, ACME wird f\u00fcr Admins, die mit mehreren Domainnamen arbeiten, von Nutzen sein. Der Standard hilft dabei, jede von ihnen mit den entsprechenden SSL zu verkn\u00fcpfen.<\/p>\n

Unter den Vorteilen des Standards weisen Experten auch auf mehrere Sicherheitsmechanismen<\/a><\/noindex>hin. Sie m\u00fcssen garantieren, dass SSL-Zertifikate nur an die tats\u00e4chlichen Inhaber der Domain vergeben werden. Insbesondere wird zur Abwehr von DNS-Angriffen eine Reihe von Erweiterungen DNSSEC<\/a><\/noindex>verwendet, w\u00e4hrend der Standard zur Abwehr von DoS-Angriffen die Ausf\u00fchrungsgeschwindigkeit einzelner Anfragen einschr\u00e4nkt \u2013 zum Beispiel HTTP f\u00fcr die Methode POST<\/a><\/noindex>. Die Entwickler von ACME zu lesen<\/a><\/noindex> f\u00fcgen zur Erh\u00f6hung der Sicherheit Entropie zu den DNS-Anfragen hinzu und f\u00fchren sie aus mehreren Punkten im Netzwerk aus.<\/p>\n

\u00c4hnliche L\u00f6sungen<\/h2>\n

\nZur Erlangung von Zertifikaten werden auch Protokolle SCEP<\/a><\/noindex> und EST<\/a><\/noindex>.<\/p>\n

Der erste wurde bei Cisco Systems entwickelt. Ziel war es, den Prozess zur Ausstellung von digitalen X.509-Zertifikaten zu vereinfachen und ihn maximal skalierbar zu gestalten. Bis zur Einf\u00fchrung von SCEP erforderte dieser Prozess aktives Eingreifen von Systemadministratoren und war schlecht skalierbar. Heute ist dieses Protokoll eines der am weitesten verbreiteten.<\/p>\n

Was EST betrifft, so erm\u00f6glicht es PKI-Clients, Zertifikate \u00fcber sichere Kan\u00e4le zu erhalten. Es nutzt TLS f\u00fcr die \u00dcbertragung von Nachrichten und die Ausstellung von SSL sowie zur Verkn\u00fcpfung des CSR mit dem Absender. Dar\u00fcber hinaus unterst\u00fctzt EST Methoden der elliptischen Kryptographie, was eine zus\u00e4tzliche Schutzebene schafft.<\/p>\n

Nach laut Experten<\/a><\/noindex>, L\u00f6sungen wie ACME m\u00fcssen sich weiter verbreiten. Sie bieten ein vereinfachtes und sicheres Modell zur Einrichtung von SSL und beschleunigen den Prozess.<\/p>\n

Weitere Beitr\u00e4ge aus unserem Unternehmensblog:<\/h5>\n

<\/p>\n