IETF ອະນຸມັດ ACME - ນີ້ແມ່ນມາດຕະຖານສໍາລັບການເຮັດວຽກກັບໃບຢັ້ງຢືນ SSL

IETF ອະນຸມັດ ມາດຕະຖານ ສະພາບແວດລ້ອມການຄຸ້ມຄອງໃບຢັ້ງຢືນອັດຕະໂນມັດ (ACME), ເຊິ່ງຈະຊ່ວຍໃຫ້ອັດຕະໂນມັດການຮັບໃບຢັ້ງຢືນ SSL. ໃຫ້ບອກທ່ານວ່າມັນເຮັດວຽກແນວໃດ.

/flickr/ Cliff Johnson / CC BY-SA

ເປັນຫຍັງມາດຕະຖານຈຶ່ງຈໍາເປັນ?

ສະເລ່ຍຕໍ່ການຕັ້ງຄ່າ ໃບຮັບຮອງ SSL ສໍາລັບໂດເມນ, ຜູ້ບໍລິຫານສາມາດໃຊ້ເວລາຈາກຫນຶ່ງຫາສາມຊົ່ວໂມງ. ຖ້າທ່ານເຮັດຜິດພາດ, ທ່ານຈະຕ້ອງລໍຖ້າຈົນກ່ວາຄໍາຮ້ອງສະຫມັກໄດ້ຖືກປະຕິເສດ, ພຽງແຕ່ຫຼັງຈາກນັ້ນສາມາດສົ່ງອີກເທື່ອຫນຶ່ງ. ທັງຫມົດນີ້ເຮັດໃຫ້ມັນຍາກທີ່ຈະນໍາໃຊ້ລະບົບຂະຫນາດໃຫຍ່.

ຂັ້ນຕອນການກວດສອບໂດເມນສໍາລັບແຕ່ລະອົງການການຢັ້ງຢືນອາດຈະແຕກຕ່າງກັນ. ການຂາດມາດຕະຖານບາງຄັ້ງກໍ່ເຮັດໃຫ້ເກີດບັນຫາຄວາມປອດໄພ. ທີ່ມີຊື່ສຽງ ເກີດຂື້ນໃນເວລາທີ່, ເນື່ອງຈາກ bug ໃນລະບົບ, ຫນຶ່ງ CA ກວດສອບໂດເມນປະກາດທັງຫມົດ. ໃນສະຖານະການດັ່ງກ່າວ, ໃບຢັ້ງຢືນ SSL ອາດຈະຖືກອອກໃຫ້ກັບຊັບພະຍາກອນທີ່ສໍ້ໂກງ.

IETF ອະນຸມັດອະນຸສັນຍາ ACME (ຂໍ້ມູນຈໍາເພາະ RFC8555) ຄວນອັດຕະໂນມັດແລະມາດຕະຖານຂະບວນການຂອງການໄດ້ຮັບໃບຢັ້ງຢືນ. ແລະການກໍາຈັດປັດໄຈຂອງມະນຸດຈະຊ່ວຍເພີ່ມຄວາມຫນ້າເຊື່ອຖືແລະຄວາມປອດໄພຂອງການກວດສອບຊື່ໂດເມນ.

ມາດຕະຖານແມ່ນເປີດແລະທຸກຄົນສາມາດປະກອບສ່ວນເຂົ້າໃນການພັດທະນາຂອງມັນ. IN repositories ໃນ GitHub ຄໍາແນະນໍາທີ່ກ່ຽວຂ້ອງໄດ້ຖືກຈັດພີມມາ.

ວິທີການເຮັດວຽກນີ້

ການຮ້ອງຂໍຖືກແລກປ່ຽນໃນ ACME ຜ່ານ HTTPS ໂດຍໃຊ້ຂໍ້ຄວາມ JSON. ເພື່ອເຮັດວຽກກັບໂປໂຕຄອນ, ທ່ານຈໍາເປັນຕ້ອງຕິດຕັ້ງລູກຄ້າ ACME ໃນໂຫນດເປົ້າຫມາຍ; ມັນສ້າງຄູ່ຄີທີ່ເປັນເອກະລັກຄັ້ງທໍາອິດທີ່ທ່ານເຂົ້າເຖິງ CA. ຫຼັງຈາກນັ້ນ, ພວກເຂົາຈະຖືກນໍາໃຊ້ເພື່ອເຊັນຂໍ້ຄວາມທັງຫມົດຈາກລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍ.

ຂໍ້ຄວາມທໍາອິດມີຂໍ້ມູນຕິດຕໍ່ກ່ຽວກັບເຈົ້າຂອງໂດເມນ. ມັນໄດ້ຖືກເຊັນດ້ວຍລະຫັດສ່ວນຕົວແລະຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍພ້ອມກັບລະຫັດສາທາລະນະ. ມັນກວດສອບຄວາມຖືກຕ້ອງຂອງລາຍເຊັນແລະ, ຖ້າທຸກສິ່ງທຸກຢ່າງຢູ່ໃນຄໍາສັ່ງ, ເລີ່ມຕົ້ນຂັ້ນຕອນການອອກໃບຢັ້ງຢືນ SSL.

ເພື່ອໃຫ້ໄດ້ຮັບໃບຢັ້ງຢືນ, ລູກຄ້າຕ້ອງພິສູດກັບເຄື່ອງແມ່ຂ່າຍວ່າລາວເປັນເຈົ້າຂອງໂດເມນ. ເພື່ອເຮັດສິ່ງນີ້, ລາວປະຕິບັດການປະຕິບັດບາງຢ່າງທີ່ມີຢູ່ກັບເຈົ້າຂອງເທົ່ານັ້ນ. ຕົວຢ່າງ, ເຈົ້າຫນ້າທີ່ໃບຢັ້ງຢືນສາມາດສ້າງ token ເປັນເອກະລັກແລະຂໍໃຫ້ລູກຄ້າວາງມັນຢູ່ໃນເວັບໄຊທ໌. ຕໍ່ໄປ, CA ອອກຄໍາຄົ້ນຫາເວັບ ຫຼື DNS ເພື່ອດຶງເອົາລະຫັດຈາກ token ນີ້.

ຕົວຢ່າງ, ໃນກໍລະນີຂອງ HTTP, ກຸນແຈຈາກ token ຕ້ອງຖືກຈັດໃສ່ໃນໄຟລ໌ທີ່ຈະຖືກຮັບໃຊ້ໂດຍເຄື່ອງແມ່ຂ່າຍເວັບ. ໃນລະຫວ່າງການກວດສອບ DNS, ເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນຈະຊອກຫາກະແຈທີ່ເປັນເອກະລັກໃນເອກະສານຂໍ້ຄວາມຂອງບັນທຶກ DNS. ຖ້າທຸກຢ່າງດີ, ເຊີບເວີຢືນຢັນວ່າລູກຄ້າໄດ້ຮັບການຢັ້ງຢືນແລະ CA ອອກໃບຢັ້ງຢືນ.

/flickr/ Blondinrikard Fröberg / CC BY

Posts

ໂດຍ ອີງຕາມ IETF, ACME ຈະເປັນປະໂຫຍດສໍາລັບຜູ້ບໍລິຫານທີ່ຕ້ອງເຮັດວຽກກັບຊື່ໂດເມນຫຼາຍ. ມາດຕະຖານຈະຊ່ວຍເຊື່ອມຕໍ່ພວກເຂົາແຕ່ລະຄົນກັບ SSLs ທີ່ຕ້ອງການ.

ໃນບັນດາຂໍ້ໄດ້ປຽບຂອງມາດຕະຖານ, ຜູ້ຊ່ຽວຊານຍັງສັງເກດເຫັນຈໍານວນຫນຶ່ງ ກົນ​ໄກ​ຄວາມ​ປອດ​ໄພ​. ພວກເຂົາຕ້ອງຮັບປະກັນວ່າໃບຢັ້ງຢືນ SSL ແມ່ນອອກໃຫ້ເຈົ້າຂອງໂດເມນທີ່ແທ້ຈິງເທົ່ານັ້ນ. ໂດຍສະເພາະ, ຊຸດຂອງສ່ວນຂະຫຍາຍຖືກນໍາໃຊ້ເພື່ອປ້ອງກັນການໂຈມຕີ DNS DNSSEC, ແລະເພື່ອປ້ອງກັນ DoS, ມາດຕະຖານຈໍາກັດຄວາມໄວຂອງການປະຕິບັດຄໍາຮ້ອງຂໍສ່ວນບຸກຄົນ - ຕົວຢ່າງ HTTP ສໍາລັບວິທີການ POST. ນັກພັດທະນາ ACME ດ້ວຍຕົນເອງ ແນະ ນຳ ເພື່ອປັບປຸງຄວາມປອດໄພ, ເພີ່ມ entropy ໃນການສອບຖາມ DNS ແລະປະຕິບັດໃຫ້ເຂົາເຈົ້າຈາກຫຼາຍຈຸດໃນເຄືອຂ່າຍ.

ວິທີແກ້ໄຂທີ່ຄ້າຍຄືກັນ

ໂປໂຕຄອນຍັງຖືກໃຊ້ເພື່ອຮັບໃບຢັ້ງຢືນ SCEP и EST.

ທໍາອິດໄດ້ຖືກພັດທະນາຢູ່ Cisco Systems. ເປົ້າໝາຍຂອງມັນແມ່ນເພື່ອເຮັດໃຫ້ຂັ້ນຕອນການອອກໃບຢັ້ງຢືນດິຈິຕອນ X.509 ງ່າຍຂຶ້ນ ແລະເຮັດໃຫ້ມັນສາມາດຂະຫຍາຍໄດ້ເທົ່າທີ່ເປັນໄປໄດ້. ກ່ອນ SCEP, ຂະບວນການນີ້ຮຽກຮ້ອງໃຫ້ມີການມີສ່ວນຮ່ວມຢ່າງຫ້າວຫັນຂອງຜູ້ເບິ່ງແຍງລະບົບແລະບໍ່ໄດ້ຂະຫນາດທີ່ດີ. ມື້ນີ້ອະນຸສັນຍານີ້ແມ່ນຫນຶ່ງໃນທົ່ວໄປທີ່ສຸດ.

ສໍາລັບ EST, ມັນອະນຸຍາດໃຫ້ລູກຄ້າ PKI ໄດ້ຮັບໃບຢັ້ງຢືນຜ່ານຊ່ອງທາງທີ່ປອດໄພ. ມັນໃຊ້ TLS ສໍາລັບການໂອນຂໍ້ຄວາມແລະການອອກ SSL, ເຊັ່ນດຽວກັນກັບການຜູກມັດ CSR ກັບຜູ້ສົ່ງ. ນອກຈາກນັ້ນ, EST ສະຫນັບສະຫນູນວິທີການ cryptography elliptic, ເຊິ່ງສ້າງຊັ້ນຄວາມປອດໄພເພີ່ມເຕີມ.

ໂດຍ ຄວາມ​ຄິດ​ເຫັນ​ຂອງ​ຜູ້​ຊ່ຽວ​ຊານ​, ວິທີແກ້ໄຂເຊັ່ນ ACME ຈະຕ້ອງໄດ້ຮັບການແຜ່ຫຼາຍ. ພວກເຂົາເຈົ້າສະເຫນີຮູບແບບການຕິດຕັ້ງ SSL ທີ່ງ່າຍດາຍແລະປອດໄພແລະຍັງເລັ່ງຂະບວນການ.

ຂໍ້ຄວາມເພີ່ມເຕີມຈາກ blog ຂອງບໍລິສັດຂອງພວກເຮົາ:

• ທາງເລືອກສໍາລັບໂຄງສ້າງ IT ຂອງອົງການ
• ການສໍາຮອງຂໍ້ມູນໄຟລ໌: ວິທີການປ້ອງກັນຕົວທ່ານເອງຈາກການສູນເສຍຂໍ້ມູນ
• ການຝຶກອົບຮົມຢືນສໍາລັບຜູ້ເບິ່ງແຍງ: ວິທີທີ່ເມຄສາມາດຊ່ວຍໄດ້
• ວິວັດທະນາການຂອງສະຖາປັດຕະຍະກໍາຄລາວ 1cloud

ແຫຼ່ງຂໍ້ມູນ: www.habr.com