다양한 서브넷을 사용하여 스위치를 암호화하여 확인하자

비영리 인증센터 암호화하자., 커뮤니티에 의해 관리되며 모든 사람에게 무료로 인증서를 제공합니다. объявил 도메인에 대한 인증서를 얻기 위한 권한을 확인하는 새로운 체계 도입에 대해 설명합니다. 테스트에 사용된 "/.well-known/acme-challenge/" 디렉터리를 호스팅하는 서버에 연결하는 것은 이제 서로 다른 데이터 센터에 있고 서로 다른 자율 시스템에 속하는 4개의 서로 다른 IP 주소에서 전송된 여러 HTTP 요청을 사용하여 수행됩니다. 서로 다른 IP의 요청 3개 중 4개 이상이 성공한 경우에만 확인이 성공한 것으로 간주됩니다.

여러 서브넷에서 확인하면 BGP를 사용하여 가상 경로를 대체하여 트래픽을 리디렉션하는 표적 공격을 수행함으로써 외부 도메인에 대한 인증서를 얻는 위험을 최소화할 수 있습니다. 다중 위치 확인 시스템을 사용하는 경우 공격자는 서로 다른 업링크를 사용하는 여러 자율 제공업체 시스템에 대한 경로 리디렉션을 동시에 달성해야 하며 이는 단일 경로를 리디렉션하는 것보다 훨씬 어렵습니다. 다른 IP에서 요청을 보내면 단일 Let's Encrypt 호스트가 차단 목록에 포함된 경우 검사의 신뢰성도 높아집니다(예: 러시아 연방에서는 일부 letsencrypt.org IP가 Roskomnadzor에 의해 차단됨).

1월 3일까지는 다른 서브넷에서 호스트에 연결할 수 없는 경우 기본 데이터 센터에서 성공적으로 확인되면 인증서를 생성할 수 있는 전환 기간이 있습니다. 예를 들어 방화벽의 호스트 관리자가 다른 서브넷에서만 요청을 허용한 경우 이러한 일이 발생할 수 있습니다. 메인 Let's Encrypt 데이터 센터 또는 DNS의 영역 동기화 위반으로 인해). 로그를 토대로 추가로 XNUMX개 데이터센터 검증에 문제가 있는 도메인에 대해 화이트리스트를 마련할 예정이다. 연락처 정보가 완료된 도메인만 화이트리스트에 포함됩니다. 해당 도메인이 화이트리스트에 자동으로 포함되지 않은 경우 다음을 통해 구내 신청을 보낼 수도 있습니다. 특별한 형태.

현재 Let's Encrypt 프로젝트는 약 113억 190천만 개의 도메인을 포함하는 150억 61만 개의 인증서를 발행했습니다(81년 전에는 77억 69천만 개의 도메인, 91년 전에는 XNUMX만 개의 도메인이 포함됨). Firefox Telemetry 서비스의 통계에 따르면 HTTPS를 통한 페이지 요청의 전 세계 점유율은 XNUMX%(XNUMX년 전 XNUMX%, XNUMX년 전 XNUMX%), 미국에서는 XNUMX%입니다.

추가적으로 주목할 수 있는 점은 의도 사과
수명이 398일(13개월)을 초과하는 Safari 브라우저에서 인증서 신뢰를 중지합니다. 이 제한은 1년 2020월 1일부터 발급되는 인증서에만 도입될 예정입니다. 825월 2.2일 이전에 수신된 유효 기간이 긴 인증서의 경우 신뢰가 유지되지만 XNUMX일(XNUMX년)로 제한됩니다.

이번 변경은 유효기간이 최대 5년까지 긴 인증서를 저렴한 가격으로 판매하는 인증센터의 사업에 부정적인 영향을 미칠 수 있다. Apple에 따르면 이러한 인증서의 생성은 추가적인 보안 위협을 야기하고, 새로운 암호화 표준의 신속한 구현을 방해하며, 공격자가 피해자의 트래픽을 오랫동안 제어하거나 인증서가 눈에 띄지 않게 유출되는 경우 피싱에 사용할 수 있도록 허용합니다. 해킹의 결과.

출처 : opennet.ru