Mozilla, Cloudflare ja Facebook esitlesid TLS-laiendust lühiajaliste sertifikaatide delegeerimiseks

Mozilla, Cloudflare ja Facebook koostöös kuulutasid välja uue TLS-laienduse Delegated Credentials (DC), mis lahendab sertifikaatidega seotud probleeme, kui juurdepääsu korraldada veebisaidile sisu edastamise võrkude kaudu. Sertifikaadid, mille väljastavad sertifitseerimisasutused, kehtivad pika aja jooksul, mis tekitab raskusi, kui on vaja korraldada juurdepääsu veebisaidile kolmanda osapoole teenuse kaudu, mille kaudu peab olema loodud turvaline ühendus, kuna veebisaidi sertifikaadi edastamine välisteenusele tekitab täiendavaid turvariske.

Uus laiendus võib samuti osutuda kasulikuks saitidele, mille töö tagavad suured jaotusstruktuurid, kus on palju koormuse jagajaid. Delegated Credentials aitab vältida peamiste sertifikaatide privaatsete võtmete koopiaid igas sisu edastuspunktis hoidmist. Klassikalise lähenemise korral viib igasugune rünnak HTTPS-liiklust edastavates serverites kogu sertifikaadi kompromiteerimiseni. Kui privaatvõtmed edastatakse sisu edastusvõrkudele, tekivad andmelekkimise ohud töötajate sekkumise, luureteenistuste tegevuse või CDN-infrastruktuuri kompromiteerimise tõttu.

Kui võtmete lekkimine jääb märkamatuks, saavad selle võtmete juurde pääsenud isikud piisavalt kaua märkamatult veebisaidi liiklusesse sekkuda (MITM), kuna sertifikaatide kehtivusajad on mõõdetud kuudes ja aastates. Cloudflare'is võivad sertifikaatide võtmete kaitsmiseks rakenduda spetsiaalsed võtme serverid, mis töötavad veebisaidi omaniku poolel, kuid sellise režiimi töö põhjustab liikluse edastamisel märgatavaid viivitusi, vähendab töökindlust täiendava lüli tõttu ja nõuab keerulise infrastruktuuri juurutamist.

Pakutud TLS-laiendus Delegated Credentials toob kasutusele täiendava vahepealse privaatvõtme, mille kehtivus on piiratud tundide või mõne päevaga (kuni 7 päeva). See võti genereeritakse väljastatud sertifitseerimisasutuse sertifikaadi alusel ja võimaldab hoida originaalsertifikaadi privaatvõtit sisu edastusteenuste eest varjatuna, pakkudes neile ainult ajutist sertifikaati, millel on lühike kehtivus.

Probleemide vältimiseks juurdepääsuga pärast vahepealse võtme kehtivusaja lõppu on ette nähtud automaatse uuendamise tehnoloogia, mida haldab algne TLS-server. Generatsiooniks ei ole vajalik käsitsi toimingute tegemine või skriptide käivitamine – volitatud server, mis vajab eravõtit, pöördub enne eelmise võtme kehtivusaja lõppu algse TLS-serveri poole ja see genereerib uue ajutise võtme lühema aja jaoks.

TLS-i laienduse Delegated Credentials toetavad brauserid peavad selliseid tuletatud sertifikaate usaldusväärseks. Näiteks on selle laienduse tugi juba lisatud Firefoxi ööversioonidesse ja beetaversioonidesse ning seda saab aktiveerida about:config abil, muutes seadistust "security.tls.enable_delegated_credentials". Novembri keskpaiku on plaanis viia läbi eksperiment teatud protsenti Firefoxi beetatestijatest,TLS-i Delegated Credentialsi katsetusmille raames saadetakse kvaliteedi kontrollimiseks testipäring DC-serverisse Cloudflare. Delegated Credentials toetus on juba integreeritud ka teeki. Fizz TLS 1.3 rakendusega.

Delegated Credentialsi spetsifikatsioon on edastatud IETF (Internet Engineering Task Force) komiteele, mis tegeleb Interneti protokollide ja arhitektuuri arendamisega, ja see on hetkel mustand, mis püüab saada Interneti-standardiks. Delegated Credentialsi laiendust saab rakendada ainult TLSv1.3 puhul.
Ajutiste võtmete genereerimiseks on vajalik saada TLS-sertifikaat, mis sisaldab spetsiaalset X.509 laiendust, mida praegu toetab ainult sertifitseerimiskeskus DigiCert.

Allikas: opennet.ru