{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"IETF haben ACME genehmigt \u2013 das ist der Standard f\u00fcr die Arbeit mit SSL-Zertifikaten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

IETF genehmigte Standard<\/a><\/noindex> Automatic Certificate Management Environment (ACME), das helfen wird, die Beschaffung von SSL-Zertifikaten zu automatisieren. Wir erkl\u00e4ren, wie das funktioniert.<\/p>\n

\"IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Warum der Standard ben\u00f6tigt wurde<\/h2>\n

\nIm Durchschnitt kann ein Administrator f\u00fcr die Einrichtung ein SSL-Zertifikat<\/a><\/noindex> einer Domain zwischen ein und drei Stunden ben\u00f6tigen. Bei einem Fehler muss man warten, bis der Antrag abgelehnt wird, erst dann kann er erneut eingereicht werden. All das erschwert die Bereitstellung gro\u00dfangelegter Systeme.<\/p>\n

Das Verfahren zur Validierung einer Domain kann von jedem Zertifizierungszentrum abweichen. Das Fehlen einer Standardisierung f\u00fchrt manchmal zu Sicherheitsproblemen. Bekannt ist ein Fall<\/a><\/noindex>, in dem aufgrund eines Fehlers im System ein CA alle angegebenen Domains verifiziert hat. In solchen Situationen k\u00f6nnen SSL-Zertifikate an betr\u00fcgerische Ressourcen ausgestellt werden.<\/p>\n

Das genehmigte IETF-Protokoll ACME (Spezifikation RFC8555<\/a><\/noindex>) soll den Prozess der Zertifikatserlangung automatisieren und standardisieren. Das Ausschlie\u00dfen des menschlichen Faktors soll die Zuverl\u00e4ssigkeit und Sicherheit der Domainnamenverifikation erh\u00f6hen.<\/p>\n

Der Standard ist offen, und alle Interessierten k\u00f6nnen zur seiner Entwicklung beitragen. In dem Repository auf GitHub<\/a><\/noindex> sind die entsprechenden Anleitungen ver\u00f6ffentlicht.<\/p>\n

Die DANE-Spezifikation ist in<\/h2>\n

\nDer Austausch von Anfragen im ACME erfolgt \u00fcber HTTPS mit Hilfe von JSON-Nachrichten. Um mit dem Protokoll zu arbeiten, muss auf dem Zielknoten ein ACME-Client installiert werden, der bei der ersten Verbindung zum CA ein einzigartiges Schl\u00fcsselpaar generiert. Dieses wird anschlie\u00dfend zur Unterzeichnung aller Nachrichten zwischen Client und Server verwendet.<\/p>\n

Die erste Nachricht enth\u00e4lt Kontaktinformationen \u00fcber den Domaininhaber. Sie wird mit dem privaten Schl\u00fcssel signiert und zusammen mit dem \u00f6ffentlichen Schl\u00fcssel an den Server gesendet. Dieser \u00fcberpr\u00fcft die Echtheit der Signatur und beginnt, sofern alles in Ordnung ist, mit dem Verfahren zur Ausstellung des SSL-Zertifikats.<\/p>\n

Um ein Zertifikat zu erhalten, muss der Client dem Server den Besitz der Domain nachweisen. Dazu f\u00fchrt er bestimmte Aktionen aus, die nur dem Eigent\u00fcmer zug\u00e4nglich sind. Zum Beispiel kann das Zertifizierungszentrum einen einzigartigen Token generieren und den Client bitten, diesen auf der Website zu platzieren. Anschlie\u00dfend erstellt der CA eine Web- oder DNS-Abfrage, um den Schl\u00fcssel aus diesem Token zu extrahieren.<\/p>\n

Zum Beispiel muss im Fall von HTTP der Schl\u00fcssel aus dem Token in eine Datei eingef\u00fcgt werden, die vom Webserver bedient wird. Bei der DNS-\u00dcberpr\u00fcfung wird die Zertifizierungsstelle nach dem einzigartigen Schl\u00fcssel im Textdokument des DNS-Eintrags suchen. Wenn alles in Ordnung ist, best\u00e4tigt der Server, dass der Client die Validierung bestanden hat und die CA das Zertifikat ausstellt.<\/p>\n

\"IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

Meinungen<\/h2>\n

\nNach Aussage<\/a><\/noindex> IETF, ACME wird f\u00fcr Administratoren n\u00fctzlich sein, die mit mehreren Dom\u00e4nennamen arbeiten m\u00fcssen. Der Standard hilft, jeden von ihnen mit dem entsprechenden SSL zu verbinden.<\/p>\n

Unter den Vorteilen des Standards heben die Experten auch mehrere Sicherheitsmechanismen<\/a><\/noindex>hervor. Sie m\u00fcssen sicherstellen, dass SSL-Zertifikate nur an die tats\u00e4chlichen Eigent\u00fcmer der Domains ausgegeben werden. Insbesondere wird ein Satz von Erweiterungen zum Schutz vor DNS-Angriffen verwendet, DNSSEC<\/a><\/noindex>und zum Schutz vor DoS beschr\u00e4nkt der Standard die Geschwindigkeit der Ausf\u00fchrung einzelner Anfragen \u2013 zum Beispiel HTTP f\u00fcr die Methode POST<\/a><\/noindex>. Die Entwickler von ACME empfehlen<\/a><\/noindex> f\u00fcgen Sicherheitsma\u00dfnahmen hinzu, indem sie Entropie zu DNS-Anfragen hinzuf\u00fcgen und diese aus mehreren Punkten im Netzwerk ausf\u00fchren.<\/p>\n

\u00c4hnliche L\u00f6sungen<\/h2>\n

\nZum Erhalt von Zertifikaten werden auch Protokolle verwendet, SCEP<\/a><\/noindex> und EST<\/a><\/noindex>.<\/p>\n

Das erste wurde von Cisco Systems entwickelt. Ziel war es, den Prozess der Ausstellung von digitalen X.509-Zertifikaten zu vereinfachen und so skalierbar wie m\u00f6glich zu machen. Vor der Einf\u00fchrung von SCEP erforderte dieser Prozess aktives Eingreifen von Systemadministratoren und war nur schlecht skalierbar. Heute ist dieses Protokoll eines der am weitesten verbreiteten.<\/p>\n

Was EST angeht, so erm\u00f6glicht es PKI-Clients, Zertifikate \u00fcber sichere Kan\u00e4le zu erhalten. Es verwendet TLS f\u00fcr die \u00dcbertragung von Nachrichten und die Ausstellung von SSL, sowie zur Bindung von CSR an den Absender. Dar\u00fcber hinaus unterst\u00fctzt EST Methoden der elliptischen Kryptografie, was eine zus\u00e4tzliche Schutzebene schafft.<\/p>\n

Nach Nach Meinung der Experten<\/a><\/noindex>, werden L\u00f6sungen wie ACME breitere Verbreitung finden m\u00fcssen. Sie bieten ein vereinfachtes und sicheres Modell zur Einrichtung von SSL und beschleunigen zudem den Prozess.<\/p>\n

Zus\u00e4tzliche Beitr\u00e4ge aus unserem Unternehmensblog:<\/h5>\n

<\/p>\n