Centro di certificazione non profit , controllato dalla comunità e che fornisce certificati gratuitamente a chiunque lo desideri, sull'implementazione di un nuovo schema di conferma delle autorizzazioni per ottenere un certificato per il dominio. La richiesta al server, sul quale è ospitato il catalogo utilizzato per la verifica «/.well-known/acme-challenge/», sarà ora effettuata utilizzando più richieste HTTP, inviate da 4 indirizzi IP diversi, ospitati in diversi data center e appartenenti a diversi sistemi autonomi. La verifica è considerata riuscita solo se almeno 3 delle 4 richieste da indirizzi IP diversi sono state effettuate con successo.
La verifica da più sottoreti permetterà di ridurre al minimo i rischi di ottenere certificati su domini altrui mediante attacchi mirati, che reindirizzano il traffico attraverso la sostituzione di percorsi fittizi mediante BGP. Utilizzando un sistema di verifica multiconnesso, l'attaccante dovrà ottenere simultaneamente il reindirizzamento dei percorsi per più sistemi autonomi dei fornitori con diversi uplink, il che è significativamente più complicato rispetto al reindirizzamento di un singolo percorso. L'invio di richieste da diversi IP aumenterà inoltre l'affidabilità della verifica in caso di inserimento di singoli host di Let’s Encrypt nelle liste di blocco (ad esempio, in RF alcuni IP di letsencrypt.org sono stati bloccati da Roskomnadzor).
Fino al 1° giugno sarà in vigore un periodo di transizione, che consente la generazione di certificati in caso di verifica positiva dal data center primario, in caso di indisponibilità dell'host dalle altre sottoreti (ad esempio, ciò può accadere se l'amministratore dell'host ha consentito le richieste solo dal data center principale di Let’s Encrypt o a causa di un errore di sincronizzazione delle zone in DNS). Sulla base dei log sarà preparata una lista bianca per i domini che presentano problemi di verifica con 3 data center aggiuntivi. Nella lista bianca saranno inclusi solo i domini con dati di contatto compilati. Nel caso in cui il dominio non venga inserito automaticamente nella lista bianca, è possibile inviare una richiesta di inclusione anche tramite .
Attualmente, il progetto Let’s Encrypt ha emesso 113 milioni di certificati, coprendo circa 190 milioni di domini (un anno fa erano 150 milioni di domini, e due anni fa 61 milioni). Secondo le statistiche del servizio Firefox Telemetry, la quota globale delle richieste di pagine tramite HTTPS è dell'81% (un anno fa era 77%, due anni fa 69%), mentre negli Stati Uniti è del 91%.
In aggiunta, si segnala che aziende Apple
sembra che non ci sarà più fiducia da parte del browser Safari nei certificati la cui durata supera i 398 giorni (13 mesi). Questa restrizione sarà applicata solo ai certificati emessi a partire dal 1 settembre 2020. Per i certificati emessi prima del 1 settembre con una lunga durata, la fiducia sarà mantenuta, ma limitata a 825 giorni (2.2 anni).
Il cambiamento potrebbe avere un impatto negativo sulle aziende di certificazione che vendono certificati a basso costo con una lunga durata fino a 5 anni. Secondo Apple, la generazione di questi certificati comporta ulteriori rischi per la sicurezza, ostacola l'implementazione rapida di nuovi standard crittografici e consente ai malintenzionati di controllare a lungo il traffico delle vittime o di utilizzare il phishing nel caso di una fuga di certificato non detected a seguito di un attacco.
Fonte: opennet.ru
