Let's Encrypt a commencé à vérifier en utilisant différentes sous-réseaux

Centre de certification à but non lucratif Let's Encrypt, contrôlé par la communauté et fournissant des certificats gratuitement à tous ceux qui le souhaitent, a annoncé sur l'implémentation d'un nouveau schéma de validation des droits pour l'obtention de certificats de domaine. L'appel au serveur hébergeant le répertoire utilisé dans la vérification « / .well-known / acme-challenge / » sera désormais effectué à l'aide de plusieurs requêtes HTTP envoyées depuis 4 adresses IP différentes, hébergées dans différents centres de données et appartenant à différents systèmes autonomes. La vérification est considérée comme réussie seulement si au moins 3 des 4 requêtes provenant de différentes IP sont réussies.

La vérification depuis plusieurs sous-réseaux contribuera à minimiser les risques d'obtention de certificats pour des domaines étrangers par le biais d'attaques ciblées, redirigeant le trafic via la substitution de chemins fictifs à l'aide de BGP. En utilisant un système de vérification multi-positionnel, l'attaquant devra simultanément obtenir la redirection des chemins pour plusieurs systèmes autonomes de fournisseurs avec différents uplinks, ce qui est beaucoup plus complexe que de rediriger un seul chemin. L'envoi de requêtes depuis différentes IP augmentera également la fiabilité de la vérification en cas de présence d'hôtes uniques de Let’s Encrypt sur les listes de blocage (par exemple, en Fédération de Russie, certaines IP de letsencrypt.org ont été bloquées par Roskomnadzor).

Jusqu'au 1er juin, une période de transition sera en vigueur, permettant la génération de certificats lors d'une vérification réussie depuis le centre de données principal, en cas d'indisponibilité de l'hôte depuis les autres sous-réseaux (par exemple, cela peut se produire si l'administrateur de l'hôte a autorisé les requêtes uniquement depuis le centre de données principal de Let’s Encrypt ou en raison d'une désynchronisation des zones DNS). Sur la base des journaux, une liste blanche sera établie pour les domaines rencontrant des problèmes de vérification depuis 3 centres de données supplémentaires. Seuls les domaines avec des informations de contact complètes figureront sur cette liste blanche. Si le domaine n'est pas automatiquement ajouté à la liste blanche, une demande pour son inclusion peut également être soumise via un formulaire spécial.

Actuellement, le projet Let’s Encrypt a délivré 113 millions de certificats couvrant environ 190 millions de domaines (il y a un an, 150 millions de domaines étaient couverts, et deux ans auparavant, 61 millions). Selon les statistiques du service Firefox Telemetry, la part mondiale des requêtes de pages via HTTPS s'élève à 81 % (contre 77 % l'année dernière, et 69 % il y a deux ans), tandis qu'aux États-Unis, elle atteint 91 %.

Il convient également de noter, l'intention entreprises Apple
cesser de faire confiance dans le navigateur Safari aux certificats dont la durée de vie dépasse 398 jours (13 mois). Cette restriction ne sera appliquée qu'aux certificats émis à partir du 1er septembre 2020. Pour les certificats obtenus avant le 1er septembre avec une longue durée de vie, la confiance sera maintenue, mais limitée à 825 jours (2,2 ans).

Ce changement pourrait avoir un impact négatif sur les entreprises de certification qui vendent des certificats peu coûteux avec une longue durée de vie allant jusqu'à 5 ans. Selon Apple, la génération de tels certificats crée des menaces de sécurité supplémentaires, complique l'adoption rapide de nouveaux standards cryptographiques et permet aux attaquants de contrôler le trafic d'une victime pendant longtemps ou d'utiliser ces certificats pour des phishing en cas de fuite non détectée suite à un piratage.

Source : opennet.ru