Mozilla, Cloudflare ja Facebook esitlesid TLS-i laiendust lühiealist sertifikaati delegeerimiseks

Mozilla, Cloudflare ja Facebook kooselt kuulutati välja uus TLS-i laiendus Delegated Credentials (DC), mis lahendab sertifikaatide probleemi, kui juurdepääs veebilehele on korraldatud sisu edastamise võrkude kaudu. Sertifikaadid, mida väljastavad sertifitseerimisasutused, kehtivad pikka aega, mis tekitab raskusi, kui tuleb korraldada juurdepääs veebilehele kolmanda osapoole teenuse kaudu, kelle nimel tuleb luua turvaline ühendus, kuna saidi sertifikaadi edastamine välisele teenusele toob kaasa täiendavaid turvariske.

Uus laiendus võib osutuda kasulikuks ka veebilehtedele, mille töö tagab suur hajutatud infrastruktuur koos paljude koormustasakaalustajatega. Delegated Credentials võimaldab vältida peamiste sertifikaatide privaatsete võtmete koopiate hoiustamist igas sisu edastamise sõlmes. Traditsioonilise lähenemise puhul toob iga edukas rünnak mis tahes HTTPS-i edastamise serverile kaasa kogu sertifikaadi kompromiteerimise. Kui privaatsete võtmete edastamine sisu edastamise võrkudele toimub, esinevad andmelekke ohud personali, spetsiaalteenistuste tegevuse või CDN-i infrastruktuuri kompromiteerimise tõttu.

Kui võtmete leke jääb märkamatuks, saavad nendele juurdepääsu saanud isikud piisavalt kaua märkamatult sekkuda saidi liiklusesse (MITM), kuna sertifikaatide kehtivusajad ulatuvad kuudesse ja aastatesse. Cloudflare’is võivad sertifikaatide võtmete kaitsmiseks olla rakenduda erilised võtmeserverid, mis töötavad saidi omanikupoolel, kuid selline režiim muudab liikluse edastamise oluliselt aeglasemaks, vähendab usaldusväärsust täiendava lüli tõttu ja nõuab keeruka infrastruktuuri juurutamist.

Pakutud TLS-i laiendus Delegated Credentials toob kasutusele täiendava ajutise privaatvõtme, mille kehtivusaeg on piiratud tundide või mõne päeva (kuni 7 päeva) jooksul. See võti genereeritakse välja antud sertifitseerimisasutuse sertifikaadi alusel ja võimaldab hoida algse sertifikaadi privaatvõti sisu edastamise teenuste eest salajas, andes neile vaid lühikese kehtivusajaga ajutise sertifikaadi.

Probleemide vältimiseks juurdepääsuga pärast ajutise võtme kehtivusaja lõppu on ette nähtud automaatse uuendamise tehnoloogia, mida teostatakse algse TLS-serveri poolel. Generatsiooniks ei ole vajalik käsitsi toimetamisi ega skriptide käivitamist — autoriseeritud server, kellel on vaja privaatvõtit, pöördub enne eelmise võtme kehtivusaja lõppu algse TLS-serveri poole ja see genereerib järgmise ajutise võtme lühikese ajavahemiku jooksul.

TLS-i laiendust Delegated Credentials toetavad brauserid peavad selliseid derivaatsioone sertifikaate usaldusväärseteks. Näiteks on nimetatud laienduse tugi juba lisatud Firefoxi ööversioonidesse ja beetaversioonidesse ning seda saab aktiveerida via about:config, muutes seadet „security.tls.enable_delegated_credentials“. Novembri keskpaiku plaanitakse teostada eksperiment „TLS Delegated Credentials Experiment», mille raames saadetakse katseülesanne DC-serverile Cloudflare'is, et kontrollida uue TLS-laienduse rakendamise kvaliteeti. Delegated Credentials tugi on juba sisseehitatud ka Fizz TLS 1.3 rakenduste raamatukogusse.

Delegated Credentials spetsifikatsioon on edastatud IETF (Internet Engineering Task Force) komiteele, mis tegeleb Interneti protokollide ja arhitektuuride arendamisega, ja see on praegu staadiumis mustandiga, mis pretendeerib internetistandariks. Delegated Credentials laiendust saab rakendada ainult koos TLSv1.3-ga.
Ajutiste võtmete genereerimiseks on vajalik TLS-sertifikaadi saamine, mis sisaldab erilist X.509 laiendust, mida toetab praegu ainult sertifitseerimisasutus DigiCert.

Allikas: opennet.ru