Let's Encrypt on hakanud kontrollima erinevate alamvõrkude abil

Mittetulundusühingu tunnustuskeskus Let’s Encrypt, mis on kogukonna kontrolli all ja pakub sertifikaate tasuta kõigile soovijatele, teatas uue sertifikaadi väljastamise volituste kinnitamise skeemi rakendamisest. serverile, millel on kontrollitav kataloog „/.well-known/acme-challenge/”, pöördumine toimub nüüd mitme HTTP-päringuga, mis saadetakse 4 erinevast IP-aadressist, mis asuvad erinevates andmekeskustes ja kuuluvad erinevatesse autonoomsetesse süsteemidesse. Kinnitus loetakse edukaks ainult siis, kui vähemalt 3 4-st päringust erinevatelt IP-delt on edukad.

Mitmest alamsüsteemist kontrollimine aitab vähendada riske, mis on seotud sertifikaatide saamisega teiste domeenide jaoks sihitud rünnakute kaudu, mis suunavad liiklust vale marsruutide asendamise kaudu BGP abil. Mitme positsiooniga kontrollimissüsteemi kasutamisel peab ründaja samaaegselt suunama marsruute mitmest pakkujate autonoomsest süsteemist erinevate ühisliinide kaudu, mis on oluliselt keerulisem kui ühe marsruudi suunamine. Päringute saatmine erinevatelt IP-delt suurendab ka kontrollimise usaldusväärsust, kui Let’s Encrypti üksikhostid satuvad blokeerimisnimekirja (näiteks Venemaal on mõned IP-d letsencrypt.org olnud Roskomnadzori blokeeringus).

Kuni 1. juunini kehtib üleminekuaeg, mis võimaldab sertifikaatide genereerimist edukate kontrollide korral algses andmekeskuses, kui host teistest alamsüsteemidest on kättesaamatu (näiteks võib see juhtuda, kui hosti administraator on tulemüüris lubanud päringud ainult Let’s Encrypti põhitehnilisest andmekeskusest või DNS-i tsoonide vahelise sünkroniseerimise rikkumise tõttu). Logide põhjal koostatakse valge nimekiri domeenide jaoks, millel on probleeme kontrollimisega 3 lisandmekeskusest. Valgesse nimekirja pääsevad ainult domeenid, millel on täidetud kontaktandmed. Kui domeen ei pääse automaatselt valgesse nimekirja, saab taotlust esitada ka läbi erilise vormi.

Praegu on projekti Let’s Encrypt välja antud 113 miljonit sertifikaati, mis katab umbes 190 miljonit domeeni (aasta tagasi oli katte all 150 miljonit domeeni ja kaks aastat tagasi — 61 miljonit). Firefox Telemetry teenuse statistika kohaselt on globaalne HTTPS-i lehtede päringute osakaal 81% (aasta tagasi 77%, kaks aastat tagasi 69%), Ameerikas aga 91%.

Lisaks võib märkida, kavatsetud ettevõte Apple
peatada Safari brauseris usaldus sertifikaatidele, mille kehtivusaeg ületab 398 päeva (13 kuud). Piirang kavatsetakse kehtestada ainult alates 1. septembrist 2020. a välja antud sertifikaatidele. Sertifikaatide suhtes, mis on saadud enne 1. septembrit ja mille kehtivusaeg on pikem, säilib usaldus, kuid on piiratud 825 päevaga (2,2 aastat).

Muutumine võib negatiivselt mõjutada usaldusväärsete keskuste äri, mis müüvad odavaid sertifikaate pika kehtivusajaga, mis ulatub kuni 5 aastani. Apple'i arvates tekitavad selliste sertifikaatide genereerimine täiendavaid turvaprobleeme, takistavad uute krüptostandardite kiiret rakendamist ja võimaldavad kurjategijatel pikka aega ohvri liiklust kontrollida või seda kalastamise eesmärgil kasutada juhul, kui sertifikaadi lekke tõttu ei märgata seda rünnaku käigus.

Allikas: opennet.ru