, i zajednički su najavili novo TLS proširenje (DC), koje rješava problem s certifikatima prilikom organiziranja pristupa webu putem mreža za isporuku sadržaja. Sertifikati koje izdaju certifikacijski centri imaju dug vijek trajanja, što stvara poteškoće u organiziranju pristupa webu putem vanjske usluge, čije ime treba uspostaviti sigurno povezivanje, jer prijenos certifikata weba vanjskoj usluzi stvara dodatne sigurnosne prijetnje.
Novo proširenje može biti korisno i za web stranice čija je funkcionalnost osigurana velikom distribuiranom infrastrukturom s brojnim balansirnicima opterećenja. Delegated Credentials će izbjeći pohranu kopija privatnih ključeva glavnih certifikata na svakom čvoru koji isporučuje sadržaj. U klasičnom pristupu, uspješan napad na bilo koji od poslužitelja uključenih u isporuku HTTPS prometa dovodi do kompromitacije cijelog certifikata. U slučaju prijenosa privatnih ključeva mrežama za isporuku sadržaja, javljaju se prijetnje curenju podataka zbog diverzija osoblja, akcija obavještajnih službi ili kompromitacije infrastrukture CDN-a.
Ako curenje ključeva ostane neprimijećeno, oni koji su dobili pristup ključevima mogli bi se dovoljno dugo neprimjetno infiltrirati u promet weba (MITM), budući da rokovi važenja certifikata traju mjesecima i godinama. U Cloudflare-u, za zaštitu ključeva certifikata mogu biti posebni poslužitelji ključeva koji rade s strane vlasnika weba, no rad u takvom režimu dovodi do opipljivih zastoja u isporuci prometa, smanjuje pouzdanost zbog dodatnog sloja i zahtijeva implementaciju složene infrastrukture.
Predloženo TLS proširenje Delegated Credentials uvodi dodatni privremeni privatni ključ, čije trajanje je ograničeno na sate ili nekoliko dana (ne više od 7 dana). Ovaj ključ generira se na temelju certifikata izdanog od strane certifikacijskog centra i omogućuje čuvanje privatnog ključa izvorni certifikata u tajnosti od usluga isporuke sadržaja, pružajući im samo privremeni certifikat s kratkim vremenom trajanja.
Kako bi se izbjegli problemi s pristupom nakon isteka vremena trajanja privremenog ključa, implementirana je tehnologija automatskog ažuriranja, koja se provodi na strani izvornog TLS poslužitelja. Generiranje ne zahtijeva ručne operacije ili pokretanje skripti — autorizirani poslužitelj kojem je potreban privatni ključ, prije isteka vremena trajanja prethodnog ključa obraća se izvornom TLS poslužitelju web stranice, koji generira privremeni ključ za sljedeći kratki vremenski period.
Preglednici koji podržavaju TLS proširenje Delegated Credentials percipirat će takve izvedene certifikate kao pouzdane. Na primjer, podrška za navedeno proširenje već je dodana u noćne verzije i beta verzije Firefoxa i može se aktivirati u about:config promjenom postavke 'security.tls.enable_delegated_credentials'. U sredini studenog planira se provesti eksperiment među određenim postotkom korisnika beta verzija Firefoxa.u kojem će se za provjeru kvalitete implementacije novog TLS proširenja poslati testni zahtjev na DC poslužitelj Cloudflare. Podrška za Delegated Credentials također je već ugrađena u biblioteku s implementacijom TLS 1.3.
Specifikacija Delegated Credentials predana je IETF (Internet Engineering Task Force) odboru, koji se bavi razvojem protokola i arhitekture interneta, i trenutno je u fazi , koja pretendira na titulu internetskog standarda. Proširenje Delegated Credentials može se koristiti samo s TLSv1.3.
Za generiranje privremenih ključeva potrebno je dobiti TLS certifikat koji uključuje posebno proširenje X.509, koje za sada podržava samo certifikacijski autoritet DigiCert.
Izvor: opennet.ru
