{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"IETF odobrio ACME \u2014 to je standard za rad sa SSL certifikatima","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

IETF odobrila standard<\/a><\/noindex> Automatic Certificate Management Environment (ACME) koji \u0107e pomo\u0107i automatizirati dobivanje SSL certifikata. Objasnit \u0107emo kako to funkcionira.<\/p>\n

\"IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Za\u0161to je standard potreban<\/h2>\n

\nU prosjeku administrator mo\u017ee potro\u0161iti od jednog do tri sata na postavljanje SSL-certifikata<\/a><\/noindex> za domenu. Ako do\u0111e do pogre\u0161ke, morat \u0107e \u010dekati da zahtjev bude odbijen, tek tada ga mo\u017ee ponovno podnijeti. Sve to ote\u017eava implementaciju velikih sustava.<\/p>\n

Postupak validacije domene mo\u017ee se razlikovati od jednog certifikacijskog centra do drugog. Nedostatak standardizacije ponekad dovodi do problema s sigurno\u0161\u0107u. Poznata je situacija<\/a><\/noindex>, kada je zbog gre\u0161ke u sustavu jedan CA verificirao sve prijavljene domene. U takvim situacijama SSL certifikati mogu biti izdani prevarantskim resursima.<\/p>\n

Odobreni IETF protokol ACME (specifikacija RFC8555<\/a><\/noindex>) trebao bi automatizirati i standardizirati proces dobivanja certifikata. Isklju\u010divanje ljudskog faktora pomo\u0107i \u0107e pove\u0107ati pouzdanost i sigurnost verifikacije domenskog imena.<\/p>\n

Standard je otvoren i svi zainteresirani mogu doprinijeti njegovom razvoju. U repozitoriju na GitHubu<\/a><\/noindex> objavljene su odgovaraju\u0107e upute.<\/p>\n

Kako to funkcionira<\/h2>\n

\nRazmjena zahtjeva u ACME-u odvija se putem HTTPS-a pomo\u0107u JSON poruka. Za rad s protokolom potrebno je instalirati ACME klijent na ciljnom \u010dvoru, koji generira jedinstveni par klju\u010deva prilikom prvog poziva CA-u. Kasnije \u0107e se koristiti za potpisivanje svih poruka izme\u0111u klijenta i poslu\u017eitelja.<\/p>\n

Prva poruka sadr\u017ei kontaktne informacije vlasnika domene. Ona se potpisuje privatnim klju\u010dem i zajedno s javnim klju\u010dem \u0161alje poslu\u017eitelju. On provjerava autenti\u010dnost potpisa i, ako je sve u redu, zapo\u010dinje postupak izdavanja SSL certifikata.<\/p>\n

Kako bi dobio certifikat, klijent mora poslu\u017eitelju dokazati vlasni\u0161tvo nad domenom. Za to poduzima odre\u0111ene radnje dostupne samo vlasniku. Na primjer, certifikacijski centar mo\u017ee generirati jedinstveni token i zatra\u017eiti od klijenta da ga postavi na web stranicu. Zatim, CA formira web ili DNS zahtjev za va\u0111enje klju\u010da iz tog tokena.<\/p>\n

Na primjer, u slu\u010daju HTTP-a, klju\u010d iz tokena treba smjestiti u datoteku koja \u0107e biti poslu\u017eena web poslu\u017eiteljem. Prilikom DNS verifikacije, certifikacijski centar \u0107e tra\u017eiti jedinstveni klju\u010d u tekstualnoj datoteci DNS zapisa. Ako je sve u redu, poslu\u017eitelj potvr\u0111uje da je klijent pro\u0161ao validaciju i CA izdaje certifikat.<\/p>\n

\"IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

Mi\u0161ljenja<\/h2>\n

\nPo rije\u010dima<\/a><\/noindex> IETF, ACME \u0107e biti koristan administratorima koji rade s vi\u0161e domena. Standard \u0107e pomo\u0107i u povezivanju svake od njih s potrebnim SSL-om.<\/p>\n

Me\u0111u prednostima standarda, stru\u010dnjaci tako\u0111er isti\u010du nekoliko mehanizama sigurnosti<\/a><\/noindex>. Oni trebaju jam\u010diti da se SSL certifikati izdaju samo pravim vlasnicima domena. Konkretno, kako bi se za\u0161titili od DNS napada, koristi se skup ekstenzija DNSSEC<\/a><\/noindex>, a za za\u0161titu od DoS standard ograni\u010dava brzinu izvr\u0161enja pojedina\u010dnih zahtjeva \u2014 na primjer, HTTP za metodu POST<\/a><\/noindex>. Sami developeri ACME preporu\u010duju<\/a><\/noindex> za pove\u0107anje sigurnosti dodavati entropiju DNS zahtjevima i izvr\u0161avati ih iz nekoliko to\u010daka u mre\u017ei.<\/p>\n

Sli\u010dna rje\u0161enja<\/h2>\n

\nZa dobivanje certifikata tako\u0111er se koriste protokoli SCEP<\/a><\/noindex> i EST<\/a><\/noindex>.<\/p>\n

Prvi je razvijen u Cisco Systems. Njegov cilj bio je pojednostaviti postupak izdavanja digitalnih certifikata X.509 i u\u010diniti ga maksimalno skalabilnim. Prije nego \u0161to je SCEP pojavio, ovaj proces zahtijevao je aktivno sudjelovanje sistemskih administratora i lo\u0161e se skalirao. Danas je ovaj protokol jedan od najra\u0161irenijih.<\/p>\n

\u0160to se ti\u010de EST-a, on omogu\u0107ava PKI klijentima da dobiju certifikate preko sigurnih kanala. Koristi TLS za prijenos poruka i izdavanje SSL-a, kao i za povezivanje CSR-a s po\u0161iljateljem. Osim toga, EST podupire metode elipti\u010dne kriptografije, \u0161to stvara dodatnu razinu za\u0161tite.<\/p>\n

Po prema mi\u0161ljenju stru\u010dnjaka<\/a><\/noindex>, rje\u0161enja poput ACME \u0107e se morati \u0161ire usvajati. Nude pojednostavljeni i sigurni model za postavljanje SSL-a, a tako\u0111er ubrzavaju postupak.<\/p>\n

Dodatni postovi iz na\u0161eg korporativnog bloga:<\/h5>\n

<\/p>\n