IETF ने एसएसएल प्रमाणपत्रों के साथ काम करने के मानक एसीएमई को मंजूरी दे दी है

IETF अनुमोदित मानक स्वचालित प्रमाणपत्र प्रबंधन वातावरण (एसीएमई), जो एसएसएल प्रमाणपत्रों की प्राप्ति को स्वचालित करने में मदद करेगा। आइए आपको बताते हैं कि यह कैसे काम करता है.

/ फ़्लिकर / क्लिफ जॉनसन / सीसी द्वारा एसए

मानक की आवश्यकता क्यों पड़ी?

प्रति सेटिंग औसत एसएसएल प्रमाणपत्र एक डोमेन के लिए व्यवस्थापक एक से तीन घंटे तक खर्च कर सकता है। अगर आपसे कोई गलती हो जाती है तो आपको आवेदन खारिज होने तक इंतजार करना होगा, उसके बाद ही इसे दोबारा सबमिट किया जा सकता है। यह सब बड़े पैमाने पर सिस्टम तैनात करना मुश्किल बनाता है।

प्रत्येक प्रमाणन प्राधिकारी के लिए डोमेन सत्यापन प्रक्रिया भिन्न हो सकती है। मानकीकरण के अभाव के कारण कभी-कभी सुरक्षा संबंधी समस्याएँ उत्पन्न हो जाती हैं। प्रसिद्ध मामलाजब, सिस्टम में एक बग के कारण, एक सीए ने सभी घोषित डोमेन को सत्यापित कर दिया। ऐसी स्थितियों में, धोखाधड़ी वाले संसाधनों को एसएसएल प्रमाणपत्र जारी किए जा सकते हैं।

IETF अनुमोदित ACME प्रोटोकॉल (विनिर्देश) RFC8555) प्रमाणपत्र प्राप्त करने की प्रक्रिया को स्वचालित और मानकीकृत करना चाहिए। और मानवीय कारक को ख़त्म करने से डोमेन नाम सत्यापन की विश्वसनीयता और सुरक्षा बढ़ाने में मदद मिलेगी।

मानक खुला है और कोई भी इसके विकास में योगदान दे सकता है। में GitHub पर रिपॉजिटरी प्रासंगिक निर्देश प्रकाशित कर दिए गए हैं.

Как это работает

ACME में JSON संदेशों का उपयोग करके HTTPS पर अनुरोधों का आदान-प्रदान किया जाता है। प्रोटोकॉल के साथ काम करने के लिए, आपको ACME क्लाइंट को लक्ष्य नोड पर स्थापित करने की आवश्यकता है; जब आप पहली बार CA तक पहुंचते हैं तो यह एक अद्वितीय कुंजी जोड़ी उत्पन्न करता है। इसके बाद, उनका उपयोग क्लाइंट और सर्वर से सभी संदेशों पर हस्ताक्षर करने के लिए किया जाएगा।

पहले संदेश में डोमेन स्वामी के बारे में संपर्क जानकारी शामिल है। इसे निजी कुंजी के साथ हस्ताक्षरित किया जाता है और सार्वजनिक कुंजी के साथ सर्वर पर भेजा जाता है। यह हस्ताक्षर की प्रामाणिकता की पुष्टि करता है और, यदि सब कुछ क्रम में है, तो एसएसएल प्रमाणपत्र जारी करने की प्रक्रिया शुरू करता है।

प्रमाणपत्र प्राप्त करने के लिए, क्लाइंट को सर्वर को यह साबित करना होगा कि वह डोमेन का मालिक है। ऐसा करने के लिए, वह केवल मालिक के लिए उपलब्ध कुछ कार्य करता है। उदाहरण के लिए, एक प्रमाणपत्र प्राधिकारी एक अद्वितीय टोकन उत्पन्न कर सकता है और ग्राहक को इसे साइट पर रखने के लिए कह सकता है। इसके बाद, CA इस टोकन से कुंजी पुनर्प्राप्त करने के लिए एक वेब या DNS क्वेरी जारी करता है।

उदाहरण के लिए, HTTP के मामले में, टोकन की कुंजी को एक फ़ाइल में रखा जाना चाहिए जिसे वेब सर्वर द्वारा परोसा जाएगा। DNS सत्यापन के दौरान, प्रमाणन प्राधिकारी DNS रिकॉर्ड के टेक्स्ट दस्तावेज़ में एक अद्वितीय कुंजी की तलाश करेगा। यदि सब कुछ ठीक है, तो सर्वर पुष्टि करता है कि क्लाइंट मान्य हो गया है और सीए एक प्रमाणपत्र जारी करता है।

/ फ़्लिकर / ब्लॉन्डिनरिकार्ड फ्रोबर्ग / सीसी द्वारा

राय

पर के अनुसार IETF, ACME उन प्रशासकों के लिए उपयोगी होगा जिन्हें एकाधिक डोमेन नामों के साथ काम करना पड़ता है। मानक उनमें से प्रत्येक को आवश्यक एसएसएल से जोड़ने में मदद करेगा।

मानक के फायदों में से, विशेषज्ञ कई पर भी ध्यान देते हैं सुरक्षा तंत्र. उन्हें यह सुनिश्चित करना होगा कि एसएसएल प्रमाणपत्र केवल वास्तविक डोमेन मालिकों को ही जारी किए जाएं। विशेष रूप से, DNS हमलों से सुरक्षा के लिए एक्सटेंशन के एक सेट का उपयोग किया जाता है DNSSEC, और DoS से बचाने के लिए, मानक व्यक्तिगत अनुरोधों के निष्पादन की गति को सीमित करता है - उदाहरण के लिए, विधि के लिए HTTP पोस्ट. ACME डेवलपर्स स्वयं विग्यापन सुरक्षा में सुधार के लिए, DNS क्वेरीज़ में एन्ट्रापी जोड़ें और उन्हें नेटवर्क पर कई बिंदुओं से निष्पादित करें।

समान समाधान

प्रमाणपत्र प्राप्त करने के लिए भी प्रोटोकॉल का उपयोग किया जाता है एस.सी.ई.पी и ईएसटी.

पहला सिस्को सिस्टम्स में विकसित किया गया था। इसका लक्ष्य X.509 डिजिटल प्रमाणपत्र जारी करने की प्रक्रिया को सरल बनाना और इसे यथासंभव स्केलेबल बनाना था। एससीईपी से पहले, इस प्रक्रिया के लिए सिस्टम प्रशासकों की सक्रिय भागीदारी की आवश्यकता होती थी और इसका स्तर अच्छा नहीं था। आज यह प्रोटोकॉल सबसे आम में से एक है।

जहां तक ​​ईएसटी का सवाल है, यह पीकेआई ग्राहकों को सुरक्षित चैनलों पर प्रमाणपत्र प्राप्त करने की अनुमति देता है। यह संदेश स्थानांतरण और एसएसएल जारी करने के साथ-साथ प्रेषक को सीएसआर से जोड़ने के लिए टीएलएस का उपयोग करता है। इसके अलावा, ईएसटी अण्डाकार क्रिप्टोग्राफी विधियों का समर्थन करता है, जो सुरक्षा की एक अतिरिक्त परत बनाता है।

पर विशेषज्ञ की राय, ACME जैसे समाधानों को और अधिक व्यापक बनाने की आवश्यकता होगी। वे एक सरलीकृत और सुरक्षित एसएसएल सेटअप मॉडल पेश करते हैं और प्रक्रिया को तेज़ भी करते हैं।

हमारे कॉर्पोरेट ब्लॉग से अतिरिक्त पोस्ट:

• किसी संगठन के आईटी बुनियादी ढांचे के लिए विकल्प
• फ़ाइलों का बैकअप लेना: डेटा हानि से स्वयं को कैसे सुरक्षित रखें
• एडमिन के लिए ट्रेनिंग स्टैंड: क्लाउड कैसे मदद कर सकता है
• क्लाउड आर्किटेक्चर 1क्लाउड का विकास

स्रोत: www.habr.com