El CA/Browser Forum, una plataforma para la toma de decisiones colaborativa que atiende los intereses de los proveedores de navegadores y las autoridades de certificación, ha aprobado nuevos requisitos para las organizaciones que emiten certificados HTTPS. Estos nuevos requisitos descontinuan 11 métodos para verificar la propiedad del dominio para el que se emite el certificado. La compatibilidad con estos métodos descontinuados se eliminará gradualmente en marzo de 2028. El motivo de la descontinuación es centrarse en métodos de verificación automatizados y criptográficamente verificables.
Los métodos relacionados con el uso de información WHOIS, la confirmación de la información de contacto por correo electrónico, llamadas telefónicas, faxes, SMS o cartas, y la verificación basada en la verificación de la propiedad de la dirección IP registrada para el dominio en el DNS han quedado obsoletos. Se espera que la suspensión del soporte para estos métodos de verificación elimine las vulnerabilidades que podrían permitir el acceso de atacantes. certificado para un dominio, que no controlan. Por ejemplo, hace un año, se demostró que era posible obtener certificados TLS para otros dominios en la zona ".mobi" pirateando el servicio WHOIS obsoleto del registrador de dominios.
Lista de métodos de verificación de propiedad de dominio que han quedado obsoletos:
- Envío de correo electrónico, fax, SMS o carta en papel a la información de contacto especificada para el dominio en la base de datos WHOIS o en el registro SOA en DNS.
- Envío de un correo electrónico, fax, SMS o carta en papel a la información de contacto especificada para el dominio asociado Dirección IP.
- Enviar un código de verificación a direcciones de correo electrónico estándar como admin@, administrator@, webmaster@, hostmaster@ y postmaster@.
- Enviar un código de verificación al correo electrónico especificado en el registro CAA del dominio en DNS.
- Enviar un código de verificación al correo electrónico especificado en el registro TXT del dominio en DNS.
- Confirmación mediante llamada telefónica al número especificado como contacto del dominio.
- Confirmación mediante llamada telefónica al número especificado en el registro TXT del dominio en DNS.
- Confirmación mediante llamada telefónica al número especificado en el registro CAA del dominio en DNS.
- Confirmación mediante llamada telefónica al número especificado como número de contacto de la dirección IP a la que está vinculado el dominio.
- Comprobaciones basadas en la confirmación de la propiedad de la dirección IP registrada para el dominio en DNS.
- Comprobaciones basadas en resolución de dirección IP inversa.
Fuente: opennet.ru
