{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"The IETF has approved ACME \u2014 a standard for working with SSL certificates.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'IETF ha approvato standard<\/a><\/noindex> l'Automatic Certificate Management Environment (ACME), che aiuter\u00e0 ad automatizzare il processo di ottenimento dei certificati SSL. Vediamo come funziona.<\/p>\n

\"The<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Perch\u00e9 era necessario uno standard<\/h2>\n

\nIn media, un amministratore pu\u00f2 impiegare da un'ora a tre ore per configurare certificato SSL<\/a><\/noindex> un dominio. Se si commette un errore, si deve attendere che la richiesta venga rifiutata, e solo dopo si pu\u00f2 ripresentare. Questo ostacola il dispiegamento di sistemi su larga scala.<\/p>\n

La procedura di validazione del dominio pu\u00f2 differire tra i vari centri di certificazione. La mancanza di standardizzazione spesso porta a problemi di sicurezza. \u00c8 noto un caso<\/a><\/noindex>, in cui a causa di un bug nel sistema un CA ha verificato tutti i domini dichiarati. In queste situazioni, i certificati SSL possono essere emessi a risorse fraudolente.<\/p>\n

Il protocollo approvato dall'IETF ACME (specifica RFC8555<\/a><\/noindex>) dovrebbe automatizzare e standardizzare il processo di ottenimento del certificato. L'eliminazione del fattore umano contribuir\u00e0 a migliorare l'affidabilit\u00e0 e la sicurezza della verifica del nome di dominio.<\/p>\n

Lo standard \u00e8 aperto e chiunque pu\u00f2 contribuire al suo sviluppo. Nel repository su GitHub<\/a><\/noindex> sono state pubblicate le istruzioni corrispondenti.<\/p>\n

Come funziona<\/h2>\n

\nLo scambio di richieste in ACME avviene tramite HTTPS utilizzando messaggi JSON. Per lavorare con il protocollo, \u00e8 necessario installare un client ACME nel nodo bersaglio, il quale genera una coppia di chiavi uniche al primo contatto con il CA. Successivamente, queste saranno utilizzate per firmare tutti i messaggi tra client e server.<\/p>\n

Il primo messaggio contiene le informazioni di contatto del proprietario del dominio. Viene firmato con la chiave privata e inviato al server insieme alla chiave pubblica. Il server verifica l'autenticit\u00e0 della firma e, se tutto \u00e8 in ordine, avvia la procedura di emissione del certificato SSL.<\/p>\n

Per ottenere il certificato, il client deve dimostrare al server di possedere il dominio. A tal fine, esegue alcune azioni accessibili solo al proprietario. Ad esempio, il centro di certificazione pu\u00f2 generare un token unico e chiedere al cliente di posizionarlo sul sito. Successivamente, il CA forma una richiesta web o DNS per estrarre la chiave da questo token.<\/p>\n

Ad esempio, nel caso dell'HTTP, la chiave dal token deve essere posizionata in un file che sar\u00e0 servito dal server web. Durante la verifica DNS, il centro di certificazione cercher\u00e0 la chiave unica in un documento di testo nella registrazione DNS. Se tutto \u00e8 in ordine, il server conferma che il cliente ha superato la validazione e il CA emette il certificato.<\/p>\n

\"The
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

Opinioni<\/h2>\n

\nSecondo le parole<\/a><\/noindex> Per l'IETF, l'ACME sar\u00e0 utile per gli amministratori che devono gestire pi\u00f9 nomi di dominio. Lo standard aiuter\u00e0 a collegare ognuno di essi ai certificati SSL necessari.<\/p>\n

Tra i vantaggi dello standard, gli esperti notano anche diversi meccanismi di sicurezza<\/a><\/noindex>. Questi devono garantire che i certificati SSL siano emessi solo ai legittimi proprietari dei domini. In particolare, per proteggere dagli attacchi DNS, viene utilizzato un insieme di estensioni DNSSEC<\/a><\/noindex>, e per proteggere dagli attacchi DoS, lo standard limita la velocit\u00e0 di esecuzione delle singole richieste \u2014 ad esempio, l'HTTP per il metodo POST<\/a><\/noindex>. Gli stessi sviluppatori di ACME leggere<\/a><\/noindex> per aumentare la sicurezza, aggiungono entropia alle richieste DNS ed eseguono queste ultime da pi\u00f9 punti della rete.<\/p>\n

Soluzioni simili<\/h2>\n

\nPer ottenere i certificati vengono anche utilizzati protocolli SCEP<\/a><\/noindex> e EST<\/a><\/noindex>.<\/p>\n

Il primo \u00e8 stato sviluppato in Cisco Systems. Il suo obiettivo era semplificare il processo di emissione dei certificati digitali X.509 e renderlo il pi\u00f9 scalabile possibile. Prima dell'arrivo di SCEP, questo processo richiedeva il coinvolgimento attivo degli amministratori di sistema e non era ben scalabile. Oggi, questo protocollo \u00e8 uno dei pi\u00f9 diffusi.<\/p>\n

Per quanto riguarda l'EST, consente ai client PKI di ricevere certificati tramite canali sicuri. Utilizza TLS per la trasmissione dei messaggi e l'emissione di SSL, nonch\u00e9 per collegare il CSR al mittente. Inoltre, l'EST supporta metodi di crittografia ellittica, il che crea un ulteriore livello di protezione.<\/p>\n

Secondo Secondo gli esperti<\/a><\/noindex>, soluzioni come l'ACME dovrebbero diffondersi ulteriormente. Offrono un modello semplificato e sicuro per la configurazione degli SSL, accelerando cos\u00ec il processo.<\/p>\n

Post aggiuntivi dal nostro blog aziendale:<\/h5>\n

<\/p>\n