La Asociación CA/Browser Forum, que actúa como plataforma para la toma de decisiones conjunta teniendo en cuenta los intereses de los fabricantes de navegadores y las autoridades de certificación, ha aprobado nuevos requisitos para las organizaciones que emiten certificados para HTTPS. En los nuevos requisitos, se han declarado obsoletos 11 métodos de verificación de propiedad del dominio para el cual se emite el certificado. La eliminación del soporte para los métodos obsoletos se llevará a cabo de forma gradual hasta marzo de 2028. Como razones para la eliminación del soporte, se menciona el enfoque en métodos de verificación que se realizan automáticamente y que son verificables criptográficamente.
Se han declarado obsoletos los métodos relacionados con el uso de información del servicio WHOIS, la verificación de datos de contacto mediante email, llamadas telefónicas, faxes, SMS o cartas en papel, así como la verificación basada en la propiedad de la dirección IP registrada para el dominio en DNS. Se supone que la eliminación del soporte para estos métodos de verificación permitirá eliminar lagunas que potencialmente permitían a los atacantes obtener un certificado para un dominio, que no controlan. Por ejemplo, hace un año se demostró la posibilidad de obtener certificados TLS para dominios ajenos en la zona “.mobi” mediante la captura del servicio WHOIS obsoleto del registrador de dicha zona de dominio.
Lista de métodos de verificación de propiedad del dominio que se han declarado obsoletos:
- Envío de Email, fax, SMS o carta en papel a los datos de contacto indicados para el dominio en la base de datos WHOIS o en el registro SOA en DNS.
- Envío de Email, fax, SMS o carta en papel a los datos de contacto indicados para el asociado a dominio IP.
- Envío de un código de verificación a correos electrónicos estándar, tales como admin@, administrator@, webmaster@, hostmaster@ y postmaster@.
- Envío de un código de verificación al correo electrónico indicado en el registro CAA del dominio en DNS.
- Envío de un código de verificación al correo electrónico indicado en el registro TXT del dominio en DNS.
- Verificación mediante llamada telefónica al número indicado como contacto para el dominio.
- Verificación mediante llamada telefónica al número indicado en el registro TXT del dominio en DNS.
- Verificación mediante llamada telefónica al número indicado en el registro CAA del dominio en DNS.
- Verificación mediante llamada telefónica al número indicado como contacto para la dirección IP a la que está vinculado el dominio.
- Verificaciones basadas en la confirmación de la propiedad de la dirección IP registrada para el dominio en DNS.
- Verificaciones basadas en la resolución inversa de la dirección IP.
Fuente: opennet.ru
