{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"IETF on heaks kiitnud ACME \u2014 see on standard SSL-sertifikaatide haldamiseks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

IETF on heaks standard<\/a><\/noindex> Automaatne sertifikaadi haldamise keskkond (ACME), mis aitab automatiseerida SSL-sertifikaatide saamist. Selgitame, kuidas see t\u00f6\u00f6tab.<\/p>\n

\"IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Miks standard vajalik oli<\/h2>\n

\nKeskmiselt v\u00f5ib domeeni seadistamiseks administraator kulutada \u00fchest kuni kolmele tunnile. Kui ilmneb viga, tuleb oodata, kuni taotlus tagasi l\u00fckatakse, ja alles siis saab seda uuesti esitada. See muudab ulatuslike s\u00fcsteemide k\u00e4itamise keeruliseks. SSL-sertifikaat<\/a><\/noindex> Domeeni valideerimise protseduur v\u00f5ib iga sertifitseerimiskeskuse juures erineda. Standardimise puudumine toob m\u00f5nikord kaasa turvaprobleeme. On teada, et<\/p>\n

, kui vea t\u00f5ttu \u00fche CA verifitseeriti k\u00f5ik esitatud domeenid. Sellistes olukordades v\u00f5ivad SSL-sertifikaadid minna petlikele ressurssidele. juhtum<\/a><\/noindex>Heakskiidetud IETF protokoll ACME (spetsiifikatsioon<\/p>\n

RFC8555 ) peaks automatiseerima ja standardiseerima sertifikaadi saamise protsessi. Inimfaktori k\u00f5rvaldamine aitab t\u00f5sta domeeninime valideerimise usaldusv\u00e4\u00e4rsust ja turvalisust.<\/a><\/noindex>Standard on avatud ja k\u00f5ik soovijad saavad panustada selle arendamisse. Vastavad juhised on avaldatud<\/p>\n

. GitHubi repostaariumist<\/a><\/noindex> \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0438.<\/p>\n

Kuidas see toimib<\/h2>\n

\nACME-s\u00fcsteemis toimub p\u00e4ringute vahetus HTTPS-i kaudu JSON-s\u00f5numite abil. Protokolliga t\u00f6\u00f6tamiseks on vajalik installida sihtmasinale ACME-klient, mis genereerib ainulaadse v\u00f5tmepaari esimesel kontaktil CA-ga. Edasi kasutatakse neid k\u00f5igi kliendi ja serveri s\u00f5numite allkirjastamiseks.<\/p>\n

Esimene s\u00f5num sisaldab domeeni omandi kontaktandmeid. See allkirjastatakse privaatv\u00f5tmega ja saadetakse koos avaliku v\u00f5tmega serverisse. Server kontrollib allkirja autentsust ja kui k\u00f5ik on korras, alustab SSL-sertifikaadi v\u00e4ljastamise protseduuri.<\/p>\n

Kliendil on vaja t\u00f5estada serverile, et tal on domeeni omandi\u00f5igus, et saada sertifikaat. Selleks peab ta tegema teatud toiminguid, mis on saadaval ainult omanikule. N\u00e4iteks v\u00f5ib sertifitseerimiskeskus genereerida ainulaadse m\u00e4rgendi ja paluda kliendil see veebisaidile paigutada. Seej\u00e4rel vormib CA veeb- v\u00f5i DNS-p\u00e4ringu selle m\u00e4rgendi alusel v\u00f5tme leidmiseks.<\/p>\n

N\u00e4iteks HTTP puhul tuleb v\u00f5tme token paigutada faili, mida veebiserver teenindab. DNS-i kinnitamise korral otsib sertifitseerimiskeskus unikaalset v\u00f5tit DNS-i kirje tekstdokumendist. Kui k\u00f5ik on korras, kinnitab server, et klient on valideeritud, ning CA v\u00e4ljastab sertifikaadi.<\/p>\n

\"IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

Arvamused<\/h2>\n

\nKohal s\u00f5nadega<\/a><\/noindex> IETF, ACME on kasulik administraatoritele, kes peavad t\u00f6\u00f6tama mitme domeeninimega. Standard aitab siduda iga\u00fche \u00f5ige SSL-iga.<\/p>\n

Standardi eeliste hulgas m\u00e4rkivad eksperdid ka mitmeid turvamehanisme<\/a><\/noindex>. Need peavad tagama, et SSL-sertifikaate v\u00e4ljastatakse ainult t\u00f5elistele domeeniomanikele. Eelk\u00f5ige kasutatakse DNS-r\u00fcnnakute kaitsmiseks laienduste kogumit DNSSEC<\/a><\/noindex>, ning DoS-r\u00fcnnakute kaitsmiseks piirab standard \u00fcksikute p\u00e4ringute t\u00e4itmise kiirus \u2014 n\u00e4iteks HTTP meetodi POST<\/a><\/noindex>. ACME arendajad soovitavad<\/a><\/noindex> k\u00f5rgeima turvalisuse tagamiseks lisavad entropiat DNS-p\u00e4ringutele ja t\u00e4idavad neid mitmest v\u00f5rgupunktist.<\/p>\n

Sarnased lahendused<\/h2>\n

\nSertifikaatide saamiseks kasutatakse ka protokolle SCEP<\/a><\/noindex> ja EST<\/a><\/noindex>.<\/p>\n

Esimene v\u00e4lja t\u00f6\u00f6tati Cisco Systemsis. Selle eesm\u00e4rk oli lihtsustada digitaalsete X.509 sertifikaatide v\u00e4ljastamise protsessi ja muuta see v\u00f5imalikult skaleeritavaks. Enne SCEP-i ilmumist n\u00f5udis see protsess s\u00fcsteemiadministraatorite aktiivset sekkumist ja ei olnud h\u00e4sti skaleeritav. T\u00e4nap\u00e4eval on see protokoll \u00fcks k\u00f5ige levinumaid.<\/p>\n

Mis puudutab EST-i, siis see v\u00f5imaldab PKI-klientidel sertifikaate hankida turvaliste kanalite kaudu. See rakendab TLS-i s\u00f5numite edastamiseks ja SSL-i v\u00e4ljastamiseks, samuti CSR-i sidumiseks saatjaga. Lisaks toetab EST elliptiliste kr\u00fcptograafia meetodeid, mis pakuvad t\u00e4iendavat kaitset.<\/p>\n

Kohal ekspertide arvamus<\/a><\/noindex>, lahendused nagu ACME peavad saama laiemat levikut. Need pakuvad lihtsustatud ja turvalist SSL-i seadistamise mudelit ning kiirendavad protsessi.<\/p>\n

Meie ettev\u00f5tte blogist rohkem postitusi:<\/h5>\n

<\/p>\n