בואו נצפן עוברים לאימות באמצעות רשתות משנה שונות

מרכז הסמכה ללא מטרות רווח בואו להצפין, בשליטת הקהילה ומספקת תעודות ללא תשלום לכולם, объявил על הכנסת תכנית חדשה לאישור סמכות לקבלת אישור לתחום. פנייה לשרת המארח את ספריית "/.well-known/acme-challenge/" המשמשת בבדיקה תתבצע כעת באמצעות מספר בקשות HTTP שנשלחות מ-4 כתובות IP שונות הממוקמות במרכזי נתונים שונים ושייכות למערכות אוטונומיות שונות. הבדיקה נחשבת כמוצלחת רק אם לפחות 3 מתוך 4 בקשות מכתובות IP שונות מצליחות.

בדיקה ממספר רשתות משנה תאפשר לך למזער את הסיכונים בקבלת אישורים עבור דומיינים זרים על ידי ביצוע התקפות ממוקדות המנתבות תעבורה באמצעות החלפת מסלולים פיקטיביים באמצעות BGP. בעת שימוש במערכת אימות מרובת עמדות, תוקף יצטרך להשיג ניתוב מחדש של נתיב בו-זמנית עבור מספר מערכות אוטונומיות של ספקים עם קישורים מעלה שונים, וזה הרבה יותר קשה מהפניית נתיב יחיד. שליחת בקשות מכתובות IP שונות תגביר גם את מהימנות הסימון במקרה שמארחים בודדים של Let's Encrypt נכללים ברשימות חסימה (לדוגמה, בפדרציה הרוסית, כמה כתובות IP של letsencrypt.org נחסמו על ידי Roskomnadzor).

עד 1 ביוני, תהיה תקופת מעבר שתאפשר הפקת אישורים לאחר אימות מוצלח ממרכז הנתונים הראשי, אם לא ניתן להגיע לארח מרשתות משנה אחרות (לדוגמה, זה יכול לקרות אם מנהל המארח בחומת האש איפשר בקשות רק מ- מרכז הנתונים הראשי Let's Encrypt או בגלל הפרות של סנכרון אזור ב-DNS). על סמך היומנים, תוכן רשימה לבנה עבור דומיינים שיש להם בעיות באימות מ-3 מרכזי נתונים נוספים. רק דומיינים עם פרטי יצירת קשר מלאים ייכללו ברשימה הלבנה. אם הדומיין אינו נכלל אוטומטית ברשימה הלבנה, ניתן לשלוח בקשה לחצרים גם באמצעות צורה מיוחדת.

נכון להיום, פרויקט Let's Encrypt הנפיק 113 מיליון אישורים, המכסים כ-190 מיליון דומיינים (150 מיליון דומיינים כוסו לפני שנה, ו-61 מיליון לפני שנתיים). על פי נתונים סטטיסטיים משירות Firefox Telemetry, הנתח העולמי של בקשות הדפים באמצעות HTTPS הוא 81% (לפני שנה 77%, לפני שנתיים 69%), ובארה"ב - 91%.

בנוסף, ניתן לציין כוונה תפוח עץ
הפסק לתת אמון באישורים בדפדפן Safari שאורך החיים שלהם עולה על 398 ימים (13 חודשים). ההגבלה מתוכננת להיכנס רק לתעודות שהונפקו החל מה-1 בספטמבר 2020. עבור תעודות עם תקופת תוקף ארוכה שהתקבלו לפני 1 בספטמבר, האמון יישמר, אך מוגבל ל-825 ימים (2.2 שנים).

השינוי עלול להשפיע לרעה על עסקיהם של מרכזי הסמכה המוכרים תעודות זולות עם תקופת תוקף ארוכה, עד 5 שנים. לטענת אפל, הפקתם של תעודות כאלה יוצרת איומי אבטחה נוספים, מפריעה ליישום מהיר של תקני קריפטו חדשים ומאפשרת לתוקפים לשלוט על התעבורה של הקורבן לאורך זמן או להשתמש בה לצורך דיוג במקרה של דליפת תעודה לא מורגשת. תוצאה של פריצה.

מקור: OpenNet.ru