L'IETF ha approvato l'Automatic Certificate Management Environment (ACME), che aiuterà ad automatizzare il rilascio dei certificati SSL. Vediamo come funziona.
/ Flickr / /
Perché è stato necessario uno standard
In media, per la configurazione di un dominio, l'amministratore può impiegare da una a tre ore. Se si commette un errore, si dovrà aspettare che la richiesta venga rifiutata, solo dopo di che potrà essere presentata nuovamente. Tutto ciò rende difficile il deployment di sistemi su larga scala.
La procedura di validazione del dominio può variare tra i diversi centri di certificazione. La mancanza di standardizzazione porta talvolta a problemi di sicurezza. È noto , in cui a causa di un bug nel sistema un CA ha verificato tutti i domini dichiarati. In tali situazioni, i certificati SSL possono essere rilasciati a risorse fraudolente.
Il protocollo ACME approvato dall'IETF (specifica ) dovrebbe automatizzare e standardizzare il processo di ottenimento del certificato. L'esclusione del fattore umano contribuirà a migliorare l'affidabilità e la sicurezza della verifica del nome di dominio.
Lo standard è aperto e chiunque può contribuire al suo sviluppo. In sono state pubblicate le istruzioni corrispondenti.
Come funziona
Lo scambio di richieste in ACME avviene tramite HTTPS utilizzando messaggi JSON. Per lavorare con il protocollo è necessario installare un client ACME sul nodo target; esso genera una coppia di chiavi uniche al primo contatto con il CA. Successivamente, queste chiavi verranno utilizzate per firmare tutti i messaggi tra client e server.
Il primo messaggio contiene le informazioni di contatto del proprietario del dominio. Viene firmato con la chiave privata e inviato al server insieme alla chiave pubblica. Il server verifica l'autenticità della firma e, se tutto è in ordine, inizia la procedura di rilascio del certificato SSL.
Per ottenere il certificato, il cliente deve dimostrare al server di essere il proprietario del dominio. A tal fine, compie determinate azioni accessibili solo al proprietario. Ad esempio, il centro di certificazione può generare un token unico e chiedere al cliente di posizionarlo sul sito. Successivamente, il CA forma una richiesta web o DNS per estrarre la chiave da questo token.
Ad esempio, nel caso di HTTP, la chiave del token deve essere posizionata in un file che sarà gestito dal server web. Durante la verifica DNS, l'ente di certificazione cercherà la chiave unica nel documento testuale del record DNS. Se tutto è in ordine, il server conferma che il cliente ha superato la validazione e il CA rilascia il certificato.
/ Flickr / /
Opinioni
Secondo IETF, ACME sarà utile agli amministratori che devono gestire più nomi di dominio. Lo standard aiuterà a collegare ciascuno di essi ai giusti SSL.
Tra i vantaggi dello standard, gli esperti evidenziano diversi . Devono garantire che i certificati SSL siano rilasciati solo ai veri proprietari dei domini. In particolare, per proteggere contro attacchi DNS, viene utilizzato un insieme di estensioni , e per proteggere contro DoS, lo standard limita la velocità di esecuzione delle singole richieste, ad esempio, HTTP per il metodo . Gli stessi sviluppatori di ACME per aumentare la sicurezza, aggiungono entropia alle richieste DNS e le eseguono da più punti della rete.
Soluzioni simili
Per ottenere certificati vengono utilizzati anche i protocolli e .
Il primo è stato sviluppato da Cisco Systems. Il suo obiettivo era semplificare il processo di emissione dei certificati digitali X.509 e renderlo il più scalabile possibile. Prima dell'introduzione di SCEP, questo processo richiedeva il coinvolgimento attivo degli amministratori e si scalava male. Oggi questo protocollo è uno dei più diffusamente utilizzati.
Per quanto riguarda EST, consente ai client PKI di ottenere certificati tramite canali sicuri. Utilizza TLS per la trasmissione dei messaggi e per l'emissione di SSL, nonché per legare il CSR al mittente. Inoltre, EST supporta metodi di crittografia ellittica, creando un ulteriore livello di protezione.
Secondo , soluzioni come ACME dovrebbero ottenere una diffusione più ampia. Offrono un modello semplificato e sicuro per la configurazione di SSL, accelerando anche il processo.
Post aggiuntivi dal nostro blog aziendale:
Fonte: habr.com
