Nonprofit hitelesítési központ , közösség által irányított és ingyenes tanúsítványokat nyújt mindenkinek, aki kér. az új tanúsítványkérési ellenőrzési séma bevezetéséről. A szerverre, ahol a használatban lévő ellenőrzési könyvtár található „/.well-known/acme-challenge/”, most már több HTTP-kérésen keresztül közelítünk meg, amelyeket 4 különböző IP-címről küldünk, amelyek különböző adatközpontokban helyezkednek el és különálló rendszerekhez tartoznak. Az ellenőrzés akkor számít sikeresnek, ha legalább 3 a 4 kérés különböző IP-címekről sikeres volt.
A több alhálózatból történő ellenőrzés csökkenti a kockázatokat, hogy tanúsítványokat szerezzenek más domainekhez célzott támadások révén, amelyek a forgalmat hamis útvonalak beállításával irányítják át BGP-n keresztül. A többpontos ellenőrzési rendszer használatával a támadónak egyszerre kell megvalósítania az útvonalak átirányítását több szolgáltató autonóm rendszeréhez a különböző uplinkjeikkel, ami jelentősen nehezebb, mint egyetlen útvonal átirányítása. Különböző IP-címekről történő kérelmezés emellett növeli az ellenőrzés megbízhatóságát, ha az egyes Let's Encrypt hosztok letiltásra kerülnek (például Oroszországban néhány IP a letsencrypt.org-ból blokkolva volt a Roszkomnadzor által).
Június 1-ig átmeneti időszak érvényes, amely lehetővé teszi a tanúsítványok generálását, ha a sikeres ellenőrzés az elsődleges adatközpontból történt, ha a többi alhálózat elérhetetlen (például ez akkor fordulhat elő, ha a hoszt rendszergazdája a tűzfalon csak az elsődleges adatközpont Let’s Encrypt-ről érkező kéréseket engedélyezett, vagy a DNS zónák szinkronizálásának megszakadása miatt). A naplókból fehérlistát fognak készíteni az olyan domainekhez, amelyek problémákat tapasztalnak a 3 további adatközpont ellenőrzésével. A fehérlistába csak azok a domainek kerülnek be, amelyek kitöltött kontaktadatokkal rendelkeznek. Ha a domain nem került automatikusan a fehérlistára, a kérvényt a következő linken keresztül is be lehet nyújtani: .
Jelenleg a Let’s Encrypt projektje 113 millió tanúsítványt adott ki, amely körülbelül 190 millió domaint ölel fel (egy évvel ezelőtt 150 millió domain volt, két éve pedig 61 millió). A Firefox Telemetry statisztikái szerint a világos oldalra irányuló HTTPS kérések globális részesedése 81% (egy éve 77%, két éve 69%), az Egyesült Államokban pedig 91%.
További megjegyzés lehet, Apple
a Safari böngészőben megszünteti a bizalmat az olyan tanúsítványok iránt, melyek élettartama meghaladja a 398 napot (13 hónap). A korlátozást csak az 2020. szeptember 1-jétől kiadott tanúsítványokra tervezik bevezetni. Az ezen időpont előtt, hosszú élettartamú tanúsítványok esetén a bizalom megmarad, de 825 napra (2,2 évre) korlátozódik.
A változás negatívan érintheti azokat az igazolóközpontokat, amelyek olcsó, hosszú élettartamú tanúsítványokat értékesítenek, akár 5 évig is. Az Apple véleménye szerint az ilyen tanúsítványok generálása további biztonsági fenyegetéseket teremt, megakadályozza az új kriptostandardok gyors bevezetését, és lehetővé teszi a támadók számára, hogy hosszú időn keresztül ellenőrizzék az áldozatok forgalmát, vagy phishing célokra használják őket, ha a tanúsítvány észrevétlenül kiszivárog egy hackelés következtében.
Forrás: opennet.ru
