, és közösen bejelentették az új TLS-kiterjesztést (DC), amely megoldást kínál a tanúsítványokkal kapcsolatos problémákra a weboldalak tartalomelosztó hálózatokon keresztüli elérésénél. Az arra jogosult hatóságok által kiadott tanúsítványok hosszú érvényességi idővel rendelkeznek, ami nehézségeket okoz, ha a weboldal külső szolgáltatások révén kell elérni, mivel a tanúsítvány átadása a külső szolgáltatónak további biztonsági fenyegetéseket jelent.
Az új kiterjesztés hasznos lehet olyan weboldalak számára is, amelyeket nagy elosztott infrastruktúrák működtetnek, sok terheléselosztóval. A Delegált Hitelesítők elkerüli a fő tanúsítványok privát kulcsainak másolatainak tárolását a tartalomszolgáltató csomópontokon. Hagyományos megközelítéssel egy sikeres támadás bármely, a HTTPS-forgalom szolgáltatásában részt vevő szerver ellen a tanúsítvány teljes kompromittálásához vezet. A privát kulcsok tartalomelosztó hálózatoknak való átadása során adatlopási fenyegetések léphetnek fel a személyzet, a titkosszolgálatok vagy a CDN-infrastruktúra kompromittálása miatt.
Ha a kulcsok kompromittálása észrevétlen marad, a kulcsokhoz férő személyek hosszú ideig észrevétlenül be tudnak avatkozni a weboldal forgalmába (MITM), mivel a tanúsítványok érvényességi ideje hónapokban és években mérhető. A Cloudflare a tanúsítványok kulcsainak védelmére speciális kulcsszervereket használ, amelyek a weboldal tulajdonosának oldalán működnek, de ez a mód érezhető késéseket eredményez a forgalom átvitelében, csökkenti a megbízhatóságot a további láncszem megjelenése miatt, és bonyolult infrastruktúra kiépítését igényli.
A javasolt TLS-kiterjesztés, a Delegált Hitelesítők, bevezet egy további köztes privát kulcsot, amelynek érvényességi ideje órákban vagy néhány napban korlátozódik (maximum 7 nap). Ez a kulcs a kiadott tanúsítvány alapján generálódik, és lehetővé teszi az eredeti tanúsítvány privát kulcsának titokban tartását a tartalomelosztó szolgáltatások előtt, csak egy rövid élettartamú ideiglenes tanúsítványt biztosítva számukra.
Annak érdekében, hogy elkerüljük a hozzáférési problémákat a köztes kulcs élettartamának lejárta után, egy automatikus frissítési technológia került bevezetésre, amely a forrás TLS-szerveren működik. Az új kulcs generálásához nem szükséges kézi műveletek elvégzése vagy szkriptek futtatása — az engedélyezett szerver, amelyik a titkos kulcsot igényli, a korábbi kulcs élettartama lejárta előtt a weboldal forrás TLS-szerveréhez fordul, amely rövid időközönként generál egy köztes kulcsot.
A TLS Delegált Hitelesítőket támogató böngészők az ilyen származékos tanúsítványokat megbízhatónak fogják tekinteni. Például a megadott kiterjesztés támogatása már hozzá lett adva a Firefox nightly build-ekhez és bétaverziókhoz, és az about:config-en keresztül a „security.tls.enable_delegated_credentials” beállítás módosításával aktiválható. November közepén a Firefox tesztverzióinak meghatározott százaléka között terveznek egy kísérletetkeretein belül, amely során a new TLS-kiterjesztés implementálásának minőségét ellenőrzik, egy tesztkérést küldenek a Cloudflare DC-szerverére. A Delegált Hitelesítők támogatása már be van építve a a TLS 1.3 implementációjával.
A Delegált Hitelesítők specifikációját az IETF (Internet Engineering Task Force) bizottságnak adták át, amely az Internet protokolljainak és architektúrájának fejlesztésével foglalkozik, és jelenleg fokozatban van, amely igényt tart az internetes szabvány címre. A Delegált Hitelesítők kiterjesztést csak a TLSv1.3-mal együtt lehet alkalmazni.
A köztes kulcsok generálásához TLS-tanúsítvány szükséges, amely tartalmaz egy különleges X.509 kiterjesztést, amelyet eddig csak a DigiCert tanúsítványkezelő támogat.
Forrás: opennet.ru
