{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"IETF ha approvato ACME: \u00e8 lo standard per la gestione dei certificati SSL","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'IETF ha approvato standard.<\/a><\/noindex> l'Automatic Certificate Management Environment (ACME), che aiuter\u00e0 ad automatizzare il rilascio dei certificati SSL. Vediamo come funziona.<\/p>\n

\"IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Perch\u00e9 \u00e8 stato necessario uno standard<\/h2>\n

\nIn media, per la configurazione di un certificato SSL<\/a><\/noindex> di un dominio, l'amministratore pu\u00f2 impiegare da una a tre ore. Se si commette un errore, si dovr\u00e0 aspettare che la richiesta venga rifiutata, solo dopo di che potr\u00e0 essere presentata nuovamente. Tutto ci\u00f2 rende difficile il deployment di sistemi su larga scala.<\/p>\n

La procedura di validazione del dominio pu\u00f2 variare tra i diversi centri di certificazione. La mancanza di standardizzazione porta talvolta a problemi di sicurezza. \u00c8 noto un caso<\/a><\/noindex>, in cui a causa di un bug nel sistema un CA ha verificato tutti i domini dichiarati. In tali situazioni, i certificati SSL possono essere rilasciati a risorse fraudolente.<\/p>\n

Il protocollo ACME approvato dall'IETF (specifica RFC8555<\/a><\/noindex>) dovrebbe automatizzare e standardizzare il processo di ottenimento del certificato. L'esclusione del fattore umano contribuir\u00e0 a migliorare l'affidabilit\u00e0 e la sicurezza della verifica del nome di dominio.<\/p>\n

Lo standard \u00e8 aperto e chiunque pu\u00f2 contribuire al suo sviluppo. In repository su GitHub<\/a><\/noindex> sono state pubblicate le istruzioni corrispondenti.<\/p>\n

Come funziona<\/h2>\n

\nLo scambio di richieste in ACME avviene tramite HTTPS utilizzando messaggi JSON. Per lavorare con il protocollo \u00e8 necessario installare un client ACME sul nodo target; esso genera una coppia di chiavi uniche al primo contatto con il CA. Successivamente, queste chiavi verranno utilizzate per firmare tutti i messaggi tra client e server.<\/p>\n

Il primo messaggio contiene le informazioni di contatto del proprietario del dominio. Viene firmato con la chiave privata e inviato al server insieme alla chiave pubblica. Il server verifica l'autenticit\u00e0 della firma e, se tutto \u00e8 in ordine, inizia la procedura di rilascio del certificato SSL.<\/p>\n

Per ottenere il certificato, il cliente deve dimostrare al server di essere il proprietario del dominio. A tal fine, compie determinate azioni accessibili solo al proprietario. Ad esempio, il centro di certificazione pu\u00f2 generare un token unico e chiedere al cliente di posizionarlo sul sito. Successivamente, il CA forma una richiesta web o DNS per estrarre la chiave da questo token.<\/p>\n

Ad esempio, nel caso di HTTP, la chiave del token deve essere posizionata in un file che sar\u00e0 gestito dal server web. Durante la verifica DNS, l'ente di certificazione cercher\u00e0 la chiave unica nel documento testuale del record DNS. Se tutto \u00e8 in ordine, il server conferma che il cliente ha superato la validazione e il CA rilascia il certificato.<\/p>\n

\"IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

Opinioni<\/h2>\n

\nSecondo gli esperti, i principali problemi dell'Internet delle cose sono le password facilmente indovinabili (spesso sono presenti password di fabbrica preimpostate, accessibili pubblicamente) e i firmware obsoleti dei dispositivi. In migliori dei casi, gli aggiornamenti vengono pubblicati con notevoli ritardi, nel peggiore \u2014 non vengono rilasciati affatto (a volte la possibilit\u00e0 di aggiornamento non \u00e8 nemmeno prevista a livello tecnico). Di conseguenza, molti dispositivi IoT vengono compromessi attraverso modi banali, come vulnerabilit\u00e0 nell'interfaccia web. Quasi tutte queste vulnerabilit\u00e0 sono critiche, ma il produttore ha possibilit\u00e0 estremamente limitate di creare rapidamente una patch e distribuirla come aggiornamento.<\/a><\/noindex> IETF, ACME sar\u00e0 utile agli amministratori che devono gestire pi\u00f9 nomi di dominio. Lo standard aiuter\u00e0 a collegare ciascuno di essi ai giusti SSL.<\/p>\n

Tra i vantaggi dello standard, gli esperti evidenziano diversi meccanismi di sicurezza<\/a><\/noindex>. Devono garantire che i certificati SSL siano rilasciati solo ai veri proprietari dei domini. In particolare, per proteggere contro attacchi DNS, viene utilizzato un insieme di estensioni DNSSEC<\/a><\/noindex>, e per proteggere contro DoS, lo standard limita la velocit\u00e0 di esecuzione delle singole richieste, ad esempio, HTTP per il metodo POST<\/a><\/noindex>. Gli stessi sviluppatori di ACME La filosofia del DevOps. L'arte di gestire l'IT<\/a><\/noindex> per aumentare la sicurezza, aggiungono entropia alle richieste DNS e le eseguono da pi\u00f9 punti della rete.<\/p>\n

Soluzioni simili<\/h2>\n

\nPer ottenere certificati vengono utilizzati anche i protocolli SCEP<\/a><\/noindex> e EST<\/a><\/noindex>.<\/p>\n

Il primo \u00e8 stato sviluppato da Cisco Systems. Il suo obiettivo era semplificare il processo di emissione dei certificati digitali X.509 e renderlo il pi\u00f9 scalabile possibile. Prima dell'introduzione di SCEP, questo processo richiedeva il coinvolgimento attivo degli amministratori e si scalava male. Oggi questo protocollo \u00e8 uno dei pi\u00f9 diffusamente utilizzati.<\/p>\n

Per quanto riguarda EST, consente ai client PKI di ottenere certificati tramite canali sicuri. Utilizza TLS per la trasmissione dei messaggi e per l'emissione di SSL, nonch\u00e9 per legare il CSR al mittente. Inoltre, EST supporta metodi di crittografia ellittica, creando un ulteriore livello di protezione.<\/p>\n

Secondo secondo gli esperti<\/a><\/noindex>, soluzioni come ACME dovrebbero ottenere una diffusione pi\u00f9 ampia. Offrono un modello semplificato e sicuro per la configurazione di SSL, accelerando anche il processo.<\/p>\n

Post aggiuntivi dal nostro blog aziendale:<\/h5>\n

<\/p>\n