Ајде да ги криптираме прекинувачите за верификација користејќи различни подмрежи

Непрофитен центар за сертификација Ајде да шифрираме, контролирани од заедницата и обезбедуваат сертификати бесплатно за секого, објавија за воведување на нова шема за потврдување овластување за добивање сертификат за домен. Контактирањето со серверот што е домаќин на директориумот „/.well-known/acme-challenge/“ што се користи во тестот сега ќе се врши со користење на неколку HTTP барања испратени од 4 различни IP адреси лоцирани во различни центри за податоци и кои припаѓаат на различни автономни системи. Проверката се смета за успешна само ако најмалку 3 од 4 барања од различни IP адреси се успешни.

Проверката од неколку подмрежи ќе ви овозможи да ги минимизирате ризиците од добивање сертификати за странски домени со извршување насочени напади кои го пренасочуваат сообраќајот преку замена на фиктивни правци користејќи BGP. Кога се користи систем за верификација со повеќе позиции, напаѓачот ќе треба истовремено да постигне пренасочување на маршрутата за неколку автономни системи на провајдери со различни врски, што е многу потешко отколку пренасочување на една рута. Испраќањето барања од различни IP-адреси, исто така, ќе ја зголеми веродостојноста на проверката во случај кога во списоците за блокирање се вклучени единечни хостови Let's Encrypt (на пример, во Руската Федерација, некои IP-адреси letsencrypt.org беа блокирани од Roskomnadzor).

До 1 јуни, ќе има преоден период кој дозволува генерирање сертификати по успешна верификација од примарниот центар за податоци, ако домаќинот е недостапен од други подмрежи (на пример, тоа може да се случи ако администраторот на домаќинот на заштитниот ѕид дозволи барања само од главниот Да го шифрираме центарот за податоци или поради прекршувањата на синхронизацијата на зоната во DNS). Врз основа на дневниците, ќе се подготви бела листа за домени кои имаат проблеми со верификацијата од 3 дополнителни центри за податоци. Само домени со пополнети информации за контакт ќе бидат вклучени во белата листа. Доколку доменот не е автоматски вклучен во белата листа, апликацијата за простории може да се испрати и преку посебна форма.

Во моментов, проектот Let's Encrypt има издадено 113 милиони сертификати, покривајќи околу 190 милиони домени (150 милиони домени беа покриени пред една година, а 61 милион пред две години). Според статистичките податоци на услугата Firefox Telemetry, глобалниот удел на барања за страници преку HTTPS е 81% (пред една година 77%, пред две години 69%), а во САД - 91%.

Дополнително, може да се забележи намера јаболко
Престанете да им верувате на сертификатите во прелистувачот Safari чиј животен век надминува 398 дена (13 месеци). Ограничувањето се планира да се воведе само за сертификати издадени почнувајќи од 1 септември 2020 година. За сертификатите со долг период на важност добиени пред 1 септември, довербата ќе биде задржана, но ограничена на 825 дена (2.2 години).

Промената може негативно да влијае на бизнисот на центрите за сертификација кои продаваат евтини сертификати со долг рок на важност, до 5 години. Според Apple, генерирањето такви сертификати создава дополнителни безбедносни закани, го попречува брзото спроведување на новите крипто-стандарди и им овозможува на напаѓачите да го контролираат сообраќајот на жртвата долго време или да го користат за фишинг во случај на незабележано протекување на сертификатот како резултат на хакирање.

Извор: opennet.ru