{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"Az IETF j\u00f3v\u00e1hagyta az ACME-t \u2014 ez a szabv\u00e1ny az SSL-tan\u00fas\u00edtv\u00e1nyok kezel\u00e9s\u00e9re","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Az IETF j\u00f3v\u00e1hagyta szabv\u00e1ny<\/a><\/noindex> Automatikus Tan\u00fas\u00edtv\u00e1nykezel\u00e9si K\u00f6rnyezet (ACME), amely seg\u00edt automatiz\u00e1lni az SSL-tan\u00fas\u00edtv\u00e1nyok beszerz\u00e9s\u00e9t. Megmutatjuk, hogyan m\u0171k\u00f6dik ez.<\/p>\n

\"Az<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Mi\u00e9rt volt sz\u00fcks\u00e9g a szabv\u00e1nyra<\/h2>\n

\n\u00c1tlagosan a be\u00e1ll\u00edt\u00e1sra SSL tan\u00fas\u00edtv\u00e1ny<\/a><\/noindex> egy domain eset\u00e9ben az adminisztr\u00e1tor egyt\u0151l h\u00e1rom \u00f3r\u00e1ig terjed\u0151 id\u0151t vehet ig\u00e9nybe. Ha hib\u00e1t k\u00f6vet\u00fcnk el, akkor v\u00e1rnunk kell, am\u00edg a k\u00e9relmet elutas\u00edtj\u00e1k, csak ezt k\u00f6vet\u0151en ny\u00fajthat\u00f3 be \u00fajra. Mindez megnehez\u00edti a nagy rendszerek bevezet\u00e9s\u00e9t.<\/p>\n

A domainvalid\u00e1ci\u00f3s elj\u00e1r\u00e1s minden tan\u00fas\u00edt\u00f3 hat\u00f3s\u00e1gn\u00e1l elt\u00e9rhet. A standardiz\u00e1ci\u00f3 hi\u00e1nya n\u00e9ha biztons\u00e1gi probl\u00e9m\u00e1khoz vezet. Ismert eset<\/a><\/noindex>, amikor egy hiba miatt egy CA minden beny\u00fajtott domaint hiteles\u00edtett. Ilyen helyzetekben SSL-tan\u00fas\u00edtv\u00e1nyokat csal\u00e1rd webhelyeknek is kiadhatnak.<\/p>\n

Az IETF \u00e1ltal j\u00f3v\u00e1hagyott ACME protokoll (specifik\u00e1ci\u00f3 RFC8555<\/a><\/noindex>) automatiz\u00e1lni \u00e9s standardiz\u00e1lni hivatott a tan\u00fas\u00edtv\u00e1ny beszerz\u00e9s\u00e9nek folyamat\u00e1t. Az emberi t\u00e9nyez\u0151 kiz\u00e1r\u00e1s\u00e1val jav\u00edthat\u00f3 a domainn\u00e9v hiteles\u00edt\u00e9s\u00e9nek megb\u00edzhat\u00f3s\u00e1ga \u00e9s biztons\u00e1ga.<\/p>\n

A szabv\u00e1ny nyitott, \u00e9s b\u00e1rki hozz\u00e1j\u00e1rulhat a fejleszt\u00e9s\u00e9hez. A t\u00e1rol\u00f3 a GitHubon<\/a><\/noindex> meghat\u00e1roz\u00f3 utas\u00edt\u00e1sok k\u00f6zz\u00e9t\u00e9telre ker\u00fcltek.<\/p>\n

Hogyan m\u0171k\u00f6dik ez<\/h2>\n

\nAz ACME-n kereszt\u00fcli k\u00e9r\u00e9sek HTTPS-en kereszt\u00fcl JSON-\u00fczenetekkel t\u00f6rt\u00e9nnek. A protokoll haszn\u00e1lat\u00e1hoz ACME-\u00fcgyfelet kell telep\u00edteni a c\u00e9lcsom\u00f3pontra, amely az els\u0151 kapcsolatfelv\u00e9teln\u00e9l egy egyedi kulcsp\u00e1rt gener\u00e1l. Ezut\u00e1n ezt a p\u00e1rt haszn\u00e1lj\u00e1k a kliens \u00e9s a szerver \u00f6sszes \u00fczenet\u00e9nek al\u00e1\u00edr\u00e1s\u00e1ra.<\/p>\n

Az els\u0151 \u00fczenet a domain tulajdonos\u00e1nak kapcsolati inform\u00e1ci\u00f3it tartalmazza. Ezt a priv\u00e1t kulccsal \u00edrj\u00e1k al\u00e1, \u00e9s az nyilv\u00e1nos kulccsal egy\u00fctt k\u00fcldik a szervernek. A szerver ellen\u0151rzi az al\u00e1\u00edr\u00e1s \u00e9rv\u00e9nyess\u00e9g\u00e9t, \u00e9s ha minden rendben van, megkezdi az SSL-tan\u00fas\u00edtv\u00e1ny kiad\u00e1s\u00e1nak folyamat\u00e1t.<\/p>\n

A tan\u00fas\u00edtv\u00e1ny megszerz\u00e9s\u00e9hez a kliensnek bizony\u00edtania kell a szervernek a domain feletti birtokl\u00e1s\u00e1t. Ehhez bizonyos l\u00e9p\u00e9seket kell v\u00e9grehajtania, amelyek csak a tulajdonos sz\u00e1m\u00e1ra \u00e9rhet\u0151k el. P\u00e9ld\u00e1ul a tan\u00fas\u00edt\u00f3 hat\u00f3s\u00e1g gener\u00e1lhat egy egyedi tokent, \u00e9s k\u00e9rheti a klienst, hogy helyezze el azt az oldalon. Ezt k\u00f6vet\u0151en a CA web- vagy DNS-k\u00e9r\u00e9st alak\u00edt ki a tokenb\u0151l sz\u00e1rmaz\u00f3 kulcs kinyer\u00e9s\u00e9re.<\/p>\n

P\u00e9ld\u00e1ul, HTTP eset\u00e9n a kulcsot a tokenb\u0151l egy f\u00e1jlba kell helyezni, amelyet a webszerver szolg\u00e1l ki. A DNS-ellen\u0151rz\u00e9s sor\u00e1n a tan\u00fas\u00edtv\u00e1nykiad\u00f3 keresni fogja az egyedi kulcsot a DNS-rekord sz\u00f6veges dokumentum\u00e1ban. Ha minden rendben van, a szerver meger\u0151s\u00edti, hogy a kliens sikeresen \u00e1tment az ellen\u0151rz\u00e9sen, \u00e9s a CA kiadja a tan\u00fas\u00edtv\u00e1nyt.<\/p>\n

\"Az
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

V\u00e9lem\u00e9nyek<\/h2>\n

\nA szavak<\/a><\/noindex> IETF, az ACME hasznos lesz azoknak az adminisztr\u00e1toroknak, akik t\u00f6bb domain n\u00e9vvel dolgoznak. A szabv\u00e1ny seg\u00edt \u00f6sszekapcsolni mindegyiket a sz\u00fcks\u00e9ges SSL-lel.<\/p>\n

A szak\u00e9rt\u0151k a standard el\u0151nyek\u00e9nt emelnek ki sz\u00e1mos dolgot is biztons\u00e1gi mechanizmusokat<\/a><\/noindex>. Biztos\u00edtaniuk kell, hogy az SSL-tan\u00fas\u00edtv\u00e1nyokat csak a domainek val\u00f3di tulajdonosai kapj\u00e1k meg. K\u00fcl\u00f6n\u00f6sen a DNS-t\u00e1mad\u00e1sok elleni v\u00e9delem \u00e9rdek\u00e9ben egy kiterjeszt\u00e9scsomag alkalmaz\u00e1s\u00e1ra ker\u00fcl sor, DNSSEC<\/a><\/noindex>, m\u00edg a DoS t\u00e1mad\u00e1sok elleni v\u00e9delem \u00e9rdek\u00e9ben a standard korl\u00e1tozza a p\u00e1rhuzamos k\u00e9r\u00e9sek v\u00e9grehajt\u00e1s\u00e1nak sebess\u00e9g\u00e9t - p\u00e9ld\u00e1ul HTTP m\u00f3dszer eset\u00e9n, POST http:\/\/10.132.1.202:8181\/restconf\/config\/network-topology:network-topology\/topology\/topology-netconf\/node\/jun01\/yang-ext:mount\/junos-conf-root:configuration\/junos-conf-protocols:protocols<\/a><\/noindex>. Az ACME fejleszt\u0151i recommend<\/a><\/noindex> a biztons\u00e1g n\u00f6vel\u00e9se \u00e9rdek\u00e9ben entropi\u00e1t adnak a DNS-k\u00e9r\u00e9sekhez \u00e9s t\u00f6bb h\u00e1l\u00f3zati pontb\u00f3l hajtj\u00e1k v\u00e9gre azokat.<\/p>\n

Hasonl\u00f3 megold\u00e1sok<\/h2>\n

\nA tan\u00fas\u00edtv\u00e1nyok megszerz\u00e9s\u00e9hez emellett a k\u00f6vetkez\u0151 protokollokat alkalmazz\u00e1k: SCEP<\/a><\/noindex> \u00e9s EST<\/a><\/noindex>.<\/p>\n

Az els\u0151t a Cisco Systems fejlesztette ki. C\u00e9lja az X.509 digit\u00e1lis tan\u00fas\u00edtv\u00e1nyok kiad\u00e1s\u00e1nak folyamat\u00e1nak egyszer\u0171s\u00edt\u00e9se \u00e9s maxim\u00e1lis sk\u00e1l\u00e1zhat\u00f3s\u00e1ga volt. A SCEP megjelen\u00e9se el\u0151tt ez a folyamat akt\u00edv rendszergazdai r\u00e9szv\u00e9telt ig\u00e9nyelt, \u00e9s nem volt j\u00f3l sk\u00e1l\u00e1zhat\u00f3. Ma ez a protokoll az egyik legismertebb.<\/p>\n

Ami az EST-t illeti, ez lehet\u0151v\u00e9 teszi a PKI-kliensek sz\u00e1m\u00e1ra, hogy biztons\u00e1gos csatorn\u00e1kon kereszt\u00fcl tan\u00fas\u00edtv\u00e1nyokat kapjanak. TLS-t alkalmaz az \u00fczenetek tov\u00e1bb\u00edt\u00e1s\u00e1hoz \u00e9s az SSL kiad\u00e1s\u00e1hoz, valamint a CSR-t az elk\u00fcld\u0151h\u00f6z k\u00f6ti. Ezenk\u00edv\u00fcl az EST t\u00e1mogatja az elliptikus kriptogr\u00e1fia m\u00f3dszereit, ami tov\u00e1bbi v\u00e9delmi szintet biztos\u00edt.<\/p>\n

A a szak\u00e9rt\u0151k v\u00e9lem\u00e9nye szerint<\/a><\/noindex>, az ACME-hez hasonl\u00f3 megold\u00e1soknak sz\u00e9lesebb k\u00f6rben kell elterjedni\u00fck. Egyszer\u0171s\u00edtett \u00e9s biztons\u00e1gos SSL-be\u00e1ll\u00edt\u00e1si modellt k\u00edn\u00e1lnak, valamint felgyors\u00edtj\u00e1k a folyamatot.<\/p>\n

Tov\u00e1bbi bejegyz\u00e9sek a v\u00e1llalati blogunkb\u00f3l:<\/h5>\n

<\/p>\n