Autorità di certificazione non profit , gestita dalla comunità e che fornisce certificati gratuitamente a chiunque ne faccia richiesta, relativamente all'implementazione di un nuovo schema di verifica dell'autenticità per l'ottenimento del certificato di dominio. La richiesta al server che ospita il catalogo utilizzato per la verifica «/.well-known/acme-challenge/» avverrà ora utilizzando diverse richieste HTTP inviate da 4 indirizzi IP diversi, posizionati in diversi data center e appartenenti a diverse autonomie. La verifica è considerata riuscita solo se almeno 3 delle 4 richieste provenienti da indirizzi IP diversi hanno avuto esito positivo.
La verifica da più sotto-reti consente di ridurre al minimo i rischi di ottenere certificati per domini non propri tramite attacchi mirati che reindirizzano il traffico attraverso l'inserimento di percorsi fittizi utilizzando BGP. Con un sistema di verifica multi-posizione, l'attaccante deve contemporaneamente ottenere il reindirizzamento dei percorsi per più sistemi autonomi di provider con diverse connessioni uplink, il che è notevolmente più complicato rispetto al reindirizzamento di un singolo percorso. Inoltre, l'invio di richieste da IP differenti aumenta l'affidabilità della verifica nel caso in cui singoli host di Let’s Encrypt finiscano nelle liste di blocco (ad esempio, in Russia alcuni IP di letsencrypt.org sono stati bloccati da Roskomnadzor).
Fino al 1° giugno sarà attivo un periodo di transizione che consente la generazione di certificati dopo un'accurata verifica dal data center primario, nel caso in cui l'host non sia accessibile da altre sottoreti (ad esempio, ciò può accadere se l'amministratore dell'host ha autorizzato richieste solo dal data center principale di Let’s Encrypt o a causa di una violazione della sincronizzazione delle zone in DNS). Sulla base dei log, verrà preparata una lista bianca per i domini che presentano problemi di verifica da 3 data center aggiuntivi. Solo i domini con informazioni di contatto complete verranno inclusi nella lista bianca. Nel caso in cui un dominio non venga inserito automaticamente nella lista bianca, è possibile inviare una richiesta di inclusione tramite .
Attualmente il progetto Let’s Encrypt ha emesso 113 milioni di certificati, coprendo circa 190 milioni di domini (un anno fa erano 150 milioni di domini, e due anni fa 61 milioni). Secondo le statistiche del servizio Firefox Telemetry, la quota globale di richieste di pagine tramite HTTPS è dell'81% (un anno fa era del 77%, e due anni fa del 69%), mentre negli Stati Uniti è del 91%.
Inoltre, si può notare, aziende Apple
smettere di fidarsi dei certificati nel browser Safari la cui durata supera i 398 giorni (13 mesi). Questa restrizione sarà applicata solo ai certificati emessi a partire dal 1 settembre 2020. Per i certificati ottenuti prima del 1 settembre, il fiducia sarà mantenuta ma limitata a 825 giorni (2.2 anni).
Questa modifica potrebbe avere un impatto negativo sulle attività delle autorità di certificazione che vendono certificati a lungo termine a basso costo, fino a 5 anni. Secondo Apple, la generazione di tali certificati rappresenta ulteriori minacce alla sicurezza, ostacola l'implementazione rapida di nuovi standard crittografici e consente agli aggressori di controllare il traffico della vittima per un lungo periodo o di utilizzare per il phishing in caso di fuga non rilevata del certificato a causa di un hack.
Fonte: opennet.ru
