Við skulum dulkóða skiptir yfir í staðfestingu með því að nota mismunandi undirnet

Sjálfseignarstofnun vottunar Skulum dulrita, stjórnað af samfélaginu og veitir öllum skírteini ókeypis, tilkynnt um innleiðingu nýs kerfis um staðfestingu heimildar til að fá vottorð fyrir lén. Að hafa samband við netþjóninn sem hýsir „/.well-known/acme-challenge/“ skrána sem notuð er í prófinu mun nú fara fram með því að nota nokkrar HTTP beiðnir sem sendar eru frá 4 mismunandi IP tölum sem staðsettar eru í mismunandi gagnaverum og tilheyra mismunandi sjálfstæðum kerfum. Athugunin er aðeins talin vel heppnuð ef að minnsta kosti 3 af 4 beiðnum frá mismunandi IP-tölum ná árangri.

Athugun frá nokkrum undirnetum mun gera þér kleift að lágmarka áhættuna af því að fá vottorð fyrir erlend lén með því að framkvæma markvissar árásir sem beina umferð með því að skipta út gervileiðum með BGP. Þegar staðfestingarkerfi með mörgum stöðum er notað þarf árásarmaður samtímis að ná leiðartilvísun fyrir nokkur sjálfstæð kerfi veitenda með mismunandi upptengla, sem er mun erfiðara en að beina einni leið. Að senda beiðnir frá mismunandi IP-tölum mun einnig auka áreiðanleika ávísunarinnar ef einstakir Let's Encrypt gestgjafar eru innifalin í lokunarlistum (til dæmis, í Rússlandi, voru sumar letsencrypt.org IP-tölur lokaðar af Roskomnadzor).

Fram til 1. júní verður aðlögunartímabil sem leyfir myndun vottorða við árangursríka staðfestingu frá aðalgagnaveri, ef ekki er hægt að ná til hýsilsins frá öðrum undirnetum (td getur þetta gerst ef hýsilstjórnandinn á eldveggnum leyfði beiðnir aðeins frá kl. aðal Let's Encrypt gagnaver eða vegna þess að svæðissamstillingarbrot eru í DNS). Byggt á annálunum verður útbúinn hvítur listi fyrir lén sem eiga í vandræðum með staðfestingu frá 3 gagnaverum til viðbótar. Aðeins lén með útfylltum tengiliðaupplýsingum verða með á hvíta listanum. Ef lénið er ekki sjálfkrafa á hvítalistanum er einnig hægt að senda umsókn um húsnæði í gegnum sérstakt form.

Eins og er hefur Let's Encrypt verkefnið gefið út 113 milljónir vottorða, sem nær til um 190 milljón léna (150 milljónir léna voru þakin fyrir ári síðan og 61 milljón fyrir tveimur árum). Samkvæmt tölfræði frá Firefox Telemetry þjónustunni er alþjóðlegt hlutfall síðubeiðna í gegnum HTTPS 81% (fyrir ári 77%, fyrir tveimur árum 69%) og í Bandaríkjunum - 91%.

Auk þess má geta þess ásetningur Epli
Hættu að treysta vottorðum í Safari vafranum sem eru lengri en 398 dagar (13 mánuðir). Fyrirhugað er að takmörkunin verði aðeins tekin upp fyrir skírteini sem gefin eru út frá og með 1. september 2020. Fyrir skírteini með langan gildistíma sem berast fyrir 1. september verður traust haldið, en takmarkað við 825 daga (2.2 ár).

Breytingin getur haft neikvæð áhrif á starfsemi vottunarmiðstöðva sem selja ódýr skírteini með langan gildistíma, allt að 5 ár. Samkvæmt Apple skapar myndun slíkra vottorða viðbótaröryggisógnir, truflar hraða innleiðingu nýrra dulritunarstaðla og gerir árásarmönnum kleift að stjórna umferð fórnarlambsins í langan tíma eða nota hana til vefveiða ef óséður skilríki lekur eins og afleiðing af innbroti.

Heimild: opennet.ru