Az IETF jóváhagyta Automatikus Tanúsítványkezelési Környezet (ACME), amely segít automatizálni az SSL-tanúsítványok beszerzését. Megmutatjuk, hogyan működik ez.
/ Flickr / /
Miért volt szükség a szabványra
Átlagosan a beállításra egy domain esetében az adminisztrátor egytől három óráig terjedő időt vehet igénybe. Ha hibát követünk el, akkor várnunk kell, amíg a kérelmet elutasítják, csak ezt követően nyújtható be újra. Mindez megnehezíti a nagy rendszerek bevezetését.
A domainvalidációs eljárás minden tanúsító hatóságnál eltérhet. A standardizáció hiánya néha biztonsági problémákhoz vezet. Ismert , amikor egy hiba miatt egy CA minden benyújtott domaint hitelesített. Ilyen helyzetekben SSL-tanúsítványokat csalárd webhelyeknek is kiadhatnak.
Az IETF által jóváhagyott ACME protokoll (specifikáció ) automatizálni és standardizálni hivatott a tanúsítvány beszerzésének folyamatát. Az emberi tényező kizárásával javítható a domainnév hitelesítésének megbízhatósága és biztonsága.
A szabvány nyitott, és bárki hozzájárulhat a fejlesztéséhez. A meghatározó utasítások közzétételre kerültek.
Hogyan működik ez
Az ACME-n keresztüli kérések HTTPS-en keresztül JSON-üzenetekkel történnek. A protokoll használatához ACME-ügyfelet kell telepíteni a célcsomópontra, amely az első kapcsolatfelvételnél egy egyedi kulcspárt generál. Ezután ezt a párt használják a kliens és a szerver összes üzenetének aláírására.
Az első üzenet a domain tulajdonosának kapcsolati információit tartalmazza. Ezt a privát kulccsal írják alá, és az nyilvános kulccsal együtt küldik a szervernek. A szerver ellenőrzi az aláírás érvényességét, és ha minden rendben van, megkezdi az SSL-tanúsítvány kiadásának folyamatát.
A tanúsítvány megszerzéséhez a kliensnek bizonyítania kell a szervernek a domain feletti birtoklását. Ehhez bizonyos lépéseket kell végrehajtania, amelyek csak a tulajdonos számára érhetők el. Például a tanúsító hatóság generálhat egy egyedi tokent, és kérheti a klienst, hogy helyezze el azt az oldalon. Ezt követően a CA web- vagy DNS-kérést alakít ki a tokenből származó kulcs kinyerésére.
Például, HTTP esetén a kulcsot a tokenből egy fájlba kell helyezni, amelyet a webszerver szolgál ki. A DNS-ellenőrzés során a tanúsítványkiadó keresni fogja az egyedi kulcsot a DNS-rekord szöveges dokumentumában. Ha minden rendben van, a szerver megerősíti, hogy a kliens sikeresen átment az ellenőrzésen, és a CA kiadja a tanúsítványt.
/ Flickr / /
Vélemények
A IETF, az ACME hasznos lesz azoknak az adminisztrátoroknak, akik több domain névvel dolgoznak. A szabvány segít összekapcsolni mindegyiket a szükséges SSL-lel.
A szakértők a standard előnyeként emelnek ki számos dolgot is . Biztosítaniuk kell, hogy az SSL-tanúsítványokat csak a domainek valódi tulajdonosai kapják meg. Különösen a DNS-támadások elleni védelem érdekében egy kiterjesztéscsomag alkalmazására kerül sor, , míg a DoS támadások elleni védelem érdekében a standard korlátozza a párhuzamos kérések végrehajtásának sebességét - például HTTP módszer esetén, . Az ACME fejlesztői a biztonság növelése érdekében entropiát adnak a DNS-kérésekhez és több hálózati pontból hajtják végre azokat.
Hasonló megoldások
A tanúsítványok megszerzéséhez emellett a következő protokollokat alkalmazzák: és .
Az elsőt a Cisco Systems fejlesztette ki. Célja az X.509 digitális tanúsítványok kiadásának folyamatának egyszerűsítése és maximális skálázhatósága volt. A SCEP megjelenése előtt ez a folyamat aktív rendszergazdai részvételt igényelt, és nem volt jól skálázható. Ma ez a protokoll az egyik legismertebb.
Ami az EST-t illeti, ez lehetővé teszi a PKI-kliensek számára, hogy biztonságos csatornákon keresztül tanúsítványokat kapjanak. TLS-t alkalmaz az üzenetek továbbításához és az SSL kiadásához, valamint a CSR-t az elküldőhöz köti. Ezenkívül az EST támogatja az elliptikus kriptográfia módszereit, ami további védelmi szintet biztosít.
A , az ACME-hez hasonló megoldásoknak szélesebb körben kell elterjedniük. Egyszerűsített és biztonságos SSL-beállítási modellt kínálnak, valamint felgyorsítják a folyamatot.
További bejegyzések a vállalati blogunkból:
Forrás: habr.com
