Il centro di certificazione senza scopo di lucro Let's Encrypt, gestito dalla comunità e che fornisce certificati gratuitamente a chiunque lo desideri, ha iniziato a rilasciare certificati gratuiti per indirizzi IP e ha anche fornito la possibilità di ottenere certificati TLS la cui durata è limitata a 160 ore (6 giorni). Il 13 maggio hanno intenzione di aggiungere il supporto per il rilascio opzionale di certificati della durata di 45 giorni. In base al piano precedentemente annunciato, il 10 febbraio 2027 il periodo massimo di validità dei certificati sarà ridotto da 90 a 64 giorni, mentre il 16 febbraio 2028 a 45 giorni.
I certificati per indirizzi IP disponibili da oggi sono validi per 6 giorni e consentono di configurare l'accesso crittografato sicuro agli host non solo utilizzando nomi di dominio, ma anche accedendo direttamente a indirizzo IP. L'accesso protetto a un web server tramite indirizzo IP può essere utile per interagire con dispositivi domestici; durante la configurazione iniziale o il collaudo di nuovi server; per organizzare connessioni crittografate tra backend all'interno dell'infrastruttura; per creare pagine di errore visualizzate quando si accede tramite IP; durante il deploy di server personali; per organizzare l'accesso ai server DoH (DNS over HTTPS) direttamente tramite IP.
I certificati per domini, la cui validità è limitata a 6 giorni, possono essere utilizzati per aumentare la sicurezza dell'infrastruttura: in caso di fuga indesiderata del certificato a causa di un attacco, i certificati a breve termine impediranno agli aggressori di controllare a lungo il traffico della vittima o di utilizzare i certificati per phishing.
Per richiedere un certificato a breve termine per un dominio e un certificato per un indirizzo IP è necessaria la disponibilità nel client ACME del supporto per l'estensione del protocollo che implementa i profili, nonché il supporto per il profilo 'shortlived'. Per confermare la proprietà dell'indirizzo IP possono essere utilizzati solo i metodi http-01 e tls-alpn-01 (il metodo dns-01 è vietato).
Fonte: opennet.ru
