L'IETF ha approvato l'Automatic Certificate Management Environment (ACME), che aiuterà ad automatizzare il processo di ottenimento dei certificati SSL. Vediamo come funziona.
/ Flickr / /
Perché era necessario uno standard
In media, un amministratore può impiegare da un'ora a tre ore per configurare un dominio. Se si commette un errore, si deve attendere che la richiesta venga rifiutata, e solo dopo si può ripresentare. Questo ostacola il dispiegamento di sistemi su larga scala.
La procedura di validazione del dominio può differire tra i vari centri di certificazione. La mancanza di standardizzazione spesso porta a problemi di sicurezza. È noto , in cui a causa di un bug nel sistema un CA ha verificato tutti i domini dichiarati. In queste situazioni, i certificati SSL possono essere emessi a risorse fraudolente.
Il protocollo approvato dall'IETF ACME (specifica ) dovrebbe automatizzare e standardizzare il processo di ottenimento del certificato. L'eliminazione del fattore umano contribuirà a migliorare l'affidabilità e la sicurezza della verifica del nome di dominio.
Lo standard è aperto e chiunque può contribuire al suo sviluppo. Nel sono state pubblicate le istruzioni corrispondenti.
Come funziona
Lo scambio di richieste in ACME avviene tramite HTTPS utilizzando messaggi JSON. Per lavorare con il protocollo, è necessario installare un client ACME nel nodo bersaglio, il quale genera una coppia di chiavi uniche al primo contatto con il CA. Successivamente, queste saranno utilizzate per firmare tutti i messaggi tra client e server.
Il primo messaggio contiene le informazioni di contatto del proprietario del dominio. Viene firmato con la chiave privata e inviato al server insieme alla chiave pubblica. Il server verifica l'autenticità della firma e, se tutto è in ordine, avvia la procedura di emissione del certificato SSL.
Per ottenere il certificato, il client deve dimostrare al server di possedere il dominio. A tal fine, esegue alcune azioni accessibili solo al proprietario. Ad esempio, il centro di certificazione può generare un token unico e chiedere al cliente di posizionarlo sul sito. Successivamente, il CA forma una richiesta web o DNS per estrarre la chiave da questo token.
Ad esempio, nel caso dell'HTTP, la chiave dal token deve essere posizionata in un file che sarà servito dal server web. Durante la verifica DNS, il centro di certificazione cercherà la chiave unica in un documento di testo nella registrazione DNS. Se tutto è in ordine, il server conferma che il cliente ha superato la validazione e il CA emette il certificato.
/ Flickr / /
Opinioni
Secondo Per l'IETF, l'ACME sarà utile per gli amministratori che devono gestire più nomi di dominio. Lo standard aiuterà a collegare ognuno di essi ai certificati SSL necessari.
Tra i vantaggi dello standard, gli esperti notano anche diversi . Questi devono garantire che i certificati SSL siano emessi solo ai legittimi proprietari dei domini. In particolare, per proteggere dagli attacchi DNS, viene utilizzato un insieme di estensioni , e per proteggere dagli attacchi DoS, lo standard limita la velocità di esecuzione delle singole richieste — ad esempio, l'HTTP per il metodo . Gli stessi sviluppatori di ACME per aumentare la sicurezza, aggiungono entropia alle richieste DNS ed eseguono queste ultime da più punti della rete.
Soluzioni simili
Per ottenere i certificati vengono anche utilizzati protocolli e .
Il primo è stato sviluppato in Cisco Systems. Il suo obiettivo era semplificare il processo di emissione dei certificati digitali X.509 e renderlo il più scalabile possibile. Prima dell'arrivo di SCEP, questo processo richiedeva il coinvolgimento attivo degli amministratori di sistema e non era ben scalabile. Oggi, questo protocollo è uno dei più diffusi.
Per quanto riguarda l'EST, consente ai client PKI di ricevere certificati tramite canali sicuri. Utilizza TLS per la trasmissione dei messaggi e l'emissione di SSL, nonché per collegare il CSR al mittente. Inoltre, l'EST supporta metodi di crittografia ellittica, il che crea un ulteriore livello di protezione.
Secondo , soluzioni come l'ACME dovrebbero diffondersi ulteriormente. Offrono un modello semplificato e sicuro per la configurazione degli SSL, accelerando così il processo.
Post aggiuntivi dal nostro blog aziendale:
Fonte: habr.com
