IETF odobrila Automatic Certificate Management Environment (ACME) koji će pomoći automatizirati dobivanje SSL certifikata. Objasnit ćemo kako to funkcionira.
/ Flickr / /
Zašto je standard potreban
U prosjeku administrator može potrošiti od jednog do tri sata na postavljanje za domenu. Ako dođe do pogreške, morat će čekati da zahtjev bude odbijen, tek tada ga može ponovno podnijeti. Sve to otežava implementaciju velikih sustava.
Postupak validacije domene može se razlikovati od jednog certifikacijskog centra do drugog. Nedostatak standardizacije ponekad dovodi do problema s sigurnošću. Poznata je , kada je zbog greške u sustavu jedan CA verificirao sve prijavljene domene. U takvim situacijama SSL certifikati mogu biti izdani prevarantskim resursima.
Odobreni IETF protokol ACME (specifikacija ) trebao bi automatizirati i standardizirati proces dobivanja certifikata. Isključivanje ljudskog faktora pomoći će povećati pouzdanost i sigurnost verifikacije domenskog imena.
Standard je otvoren i svi zainteresirani mogu doprinijeti njegovom razvoju. U objavljene su odgovarajuće upute.
Kako to funkcionira
Razmjena zahtjeva u ACME-u odvija se putem HTTPS-a pomoću JSON poruka. Za rad s protokolom potrebno je instalirati ACME klijent na ciljnom čvoru, koji generira jedinstveni par ključeva prilikom prvog poziva CA-u. Kasnije će se koristiti za potpisivanje svih poruka između klijenta i poslužitelja.
Prva poruka sadrži kontaktne informacije vlasnika domene. Ona se potpisuje privatnim ključem i zajedno s javnim ključem šalje poslužitelju. On provjerava autentičnost potpisa i, ako je sve u redu, započinje postupak izdavanja SSL certifikata.
Kako bi dobio certifikat, klijent mora poslužitelju dokazati vlasništvo nad domenom. Za to poduzima određene radnje dostupne samo vlasniku. Na primjer, certifikacijski centar može generirati jedinstveni token i zatražiti od klijenta da ga postavi na web stranicu. Zatim, CA formira web ili DNS zahtjev za vađenje ključa iz tog tokena.
Na primjer, u slučaju HTTP-a, ključ iz tokena treba smjestiti u datoteku koja će biti poslužena web poslužiteljem. Prilikom DNS verifikacije, certifikacijski centar će tražiti jedinstveni ključ u tekstualnoj datoteci DNS zapisa. Ako je sve u redu, poslužitelj potvrđuje da je klijent prošao validaciju i CA izdaje certifikat.
/ Flickr / /
Mišljenja
Po IETF, ACME će biti koristan administratorima koji rade s više domena. Standard će pomoći u povezivanju svake od njih s potrebnim SSL-om.
Među prednostima standarda, stručnjaci također ističu nekoliko . Oni trebaju jamčiti da se SSL certifikati izdaju samo pravim vlasnicima domena. Konkretno, kako bi se zaštitili od DNS napada, koristi se skup ekstenzija , a za zaštitu od DoS standard ograničava brzinu izvršenja pojedinačnih zahtjeva — na primjer, HTTP za metodu . Sami developeri ACME za povećanje sigurnosti dodavati entropiju DNS zahtjevima i izvršavati ih iz nekoliko točaka u mreži.
Slična rješenja
Za dobivanje certifikata također se koriste protokoli i .
Prvi je razvijen u Cisco Systems. Njegov cilj bio je pojednostaviti postupak izdavanja digitalnih certifikata X.509 i učiniti ga maksimalno skalabilnim. Prije nego što je SCEP pojavio, ovaj proces zahtijevao je aktivno sudjelovanje sistemskih administratora i loše se skalirao. Danas je ovaj protokol jedan od najraširenijih.
Što se tiče EST-a, on omogućava PKI klijentima da dobiju certifikate preko sigurnih kanala. Koristi TLS za prijenos poruka i izdavanje SSL-a, kao i za povezivanje CSR-a s pošiljateljem. Osim toga, EST podupire metode eliptične kriptografije, što stvara dodatnu razinu zaštite.
Po , rješenja poput ACME će se morati šire usvajati. Nude pojednostavljeni i sigurni model za postavljanje SSL-a, a također ubrzavaju postupak.
Dodatni postovi iz našeg korporativnog bloga:
Izvor: habr.com
