🥇L'IETF a approuvé ACME - c'est une norme pour travailler avec des certificats SSL

L'IETF a approuvé norme L'Environnement de Gestion Automatique des Certificats (ACME) facilitera l'obtention de certificats SSL. Nous allons expliquer comment cela fonctionne.

/ Flickr / Cliff Johnson / CC BY-SA

Pourquoi une norme est-elle nécessaire

En moyenne, pour configurer au certificat SSL un domaine, un administrateur peut consacrer de une à trois heures. En cas d'erreur, il faut attendre que la demande soit rejetée, et seulement ensuite elle peut être soumise à nouveau. Tout cela complique le déploiement de systèmes à grande échelle.

La procédure de validation de domaine peut varier d'un centre de certification à l'autre. L'absence de standardisation entraîne parfois des problèmes de sécurité. Il est connu qu'un cas, où à cause d'un bug dans le système un CA a vérifié tous les domaines déclarés. Dans de telles situations, des certificats SSL peuvent être délivrés à des ressources frauduleuses.

Le protocole ACME approuvé par l'IETF (spécification RFC8555) doit automatiser et standardiser le processus d'obtention d'un certificat. L'élimination du facteur humain contribuera à améliorer la fiabilité et la sécurité de la vérification du nom de domaine.

La norme est ouverte, et tout le monde peut contribuer à son développement. Des répertoire sur GitHub instructions correspondantes ont été publiées.

Comment cela fonctionne

Les échanges de demandes dans ACME se font via HTTPS à l'aide de messages JSON. Pour travailler avec le protocole, il est nécessaire d'installer un client ACME sur le nœud cible, qui génère une paire de clés unique lors de son premier appel au CA. Par la suite, elles seront utilisées pour signer tous les messages entre le client et le serveur.

Le premier message contient des infos de contact sur le propriétaire du domaine. Il est signé avec la clé privée et envoyé au serveur avec la clé publique. Ce dernier vérifie l'authenticité de la signature et, si tout est en ordre, commence la procédure de délivrance du certificat SSL.

Pour obtenir un certificat, le client doit prouver au serveur qu'il possède le domaine. Pour cela, il effectue certaines actions disponibles uniquement pour le propriétaire. Par exemple, le centre de certification peut générer un token unique et demander au client de le placer sur le site. Ensuite, le CA forme une requête web ou DNS pour extraire la clé de ce token.

Par exemple, dans le cas de HTTP, la clé du jeton doit être placée dans un fichier qui sera servi par le serveur web. Lors de la vérification DNS, l'autorité de certification recherchera la clé unique dans le document texte de l'enregistrement DNS. Si tout est en ordre, le serveur confirme que le client a passé la validation et l'AC délivre le certificat.

L'IETF a approuvé ACME — il s'agit d'une norme pour le travail avec des certificats SSL
/ Flickr / Blondinrikard Fröberg / CC BY

Avis

Selon propos L'IETF, ACME sera utile aux administrateurs qui doivent gérer plusieurs noms de domaine. La norme aidera à lier chacun d'eux aux bons SSL.

Parmi les avantages de la norme, les experts notent également plusieurs mécanismes de sécurité. Ils doivent garantir que les certificats SSL sont délivrés uniquement aux véritables propriétaires de domaines. En particulier, un ensemble d'extensions est utilisé pour se protéger contre les attaques DNS, DNSSECet pour se protéger contre les attaques DoS, la norme limite le taux d'exécution des requêtes individuelles - par exemple, HTTP pour la méthode POST. Les développeurs d'ACME de lire les livres « ajoutent de l'entropie aux requêtes DNS et les effectuent depuis plusieurs points du réseau pour améliorer la sécurité.

Des solutions similaires

Des protocoles sont également utilisés pour obtenir des certificats SCEP et EST.

Le premier a été développé par Cisco Systems. Son objectif était de simplifier le processus d'émission des certificats numériques X.509 et de le rendre aussi évolutif que possible. Avant l'apparition de SCEP, ce processus nécessitait une participation active des administrateurs système et avait du mal à se développer. Aujourd'hui, ce protocole est l'un des plus couramment utilisés.

Quant à l'EST, il permet aux clients PKI d'obtenir des certificats par des canaux sécurisés. Il utilise TLS pour transmettre des messages et émettre des SSL, ainsi que pour lier CSR à l'expéditeur. De plus, l'EST prend en charge des méthodes de cryptographie elliptique, offrant ainsi un niveau de protection supplémentaire.

Selon selon l'avis des experts, des solutions comme ACME devront se répandre davantage. Elles proposent un modèle simplifié et sécurisé pour configurer le SSL, tout en accélérant le processus.

Autres articles de notre blog d'entreprise :

Source : habr.com