CA/Browser Forum, koji služi kao platforma za zajedničko donošenje odluka uzimajući u obzir interese proizvođača preglednika i certifikacijskih tijela, usvojio je nove zahtjeve za organizacije koje izdaju certifikate za HTTPS. U novim zahtjevima, 11 metoda provjere vlasništva domena za koji se izdaje certifikat proglašeno je zastarjelim. Podrška za zastarjele metode bit će prestana postepeno do ožujka 2028. godine. Kao razlog za prestanak podrške ističe se fokusiranje na automatski izvršene i kriptografski provjerljive metode provjere.
Zastarjelim su proglašeni metodi povezani s korištenjem informacija iz WHOIS servisa, potvrdom kontaktnih podataka putem e-pošte, telefonskih poziva, faksa, SMS-a ili papirnatih pisama, kao i verifikacijom na temelju provjere vlasništva IP adrese, navedene za domenu u DNS-u. Pretpostavlja se da će prestanak podrške ovim metodama provjere omogućiti uklanjanje rupa koje potencijalnim napadačima omogućuju dobivanje certifikata za domenu, koje ne kontroliraju. Na primjer, prije godinu dana prikazana je mogućnost dobivanja TLS certifikata za tuđe domene unutar zone „.mobi“ putem preuzimanja zastarjelog WHOIS servisa registrar ove domenske zone.
Popis metoda potvrde vlasništva domena proglašenih zastarjelim:
- Slanje emaila, faksa, SMS-a ili papirnatog pisma na kontaktne podatke navedene za domenu u bazi WHOIS ili u SOA zapisu u DNS-u.
- Slanje emaila, faksa, SMS-a ili papirnatog pisma na kontaktne podatke navedene za domenom IP adrese.
- Slanje provjere kodova na tipične emailove, kao što su admin@, administrator@, webmaster@, hostmaster@ i postmaster@.
- Slanje provjere kodova na email naveden u CAA zapisu domene u DNS-u.
- Slanje provjere kodova na email naveden u TXT zapisu domene u DNS-u.
- Potvrda telefonskim pozivom na broj naveden kao kontakt za domenu.
- Potvrda telefonskim pozivom na broj naveden u TXT zapisu domene u DNS-u.
- Potvrda telefonskim pozivom na broj naveden u CAA zapisu domene u DNS-u.
- Potvrda telefonskim pozivom na broj naveden kao kontakt za IP adresu kojoj je domene povezan.
- Provjere temeljem potvrde vlasništva IP adrese, navedene za domenu u DNS-u.
- Provjere temeljem obrnute rezolucije IP adrese.
Izvor: opennet.ru
