Форумот CA/Browser, платформа за заедничко донесување одлуки што ги опфаќа интересите на добавувачите на прелистувачи и органите за сертификација, одобри нови барања за организациите што издаваат HTTPS сертификати. Новите барања застаруваат 11 методи за проверка на сопственоста на доменот за кој е издаден сертификатот. Поддршката за овие застарени методи ќе биде постепено укината до март 2028 година. Наведената причина за застарување на поддршката е фокусирањето на автоматизирани и криптографски проверливи методи за верификација.
Методите поврзани со користење на информациите за WHOIS, потврдување на информациите за контакт преку е-пошта, телефонски повици, факсови, СМС-пораки или писма во печатена форма и верификација врз основа на проверка на сопственоста на IP-адресата регистрирана за доменот во DNS се застарени. Се очекува дека прекинувањето на поддршката за овие методи за верификација ќе ги елиминира дупките во законот што потенцијално би можеле да им овозможат на напаѓачите да добијат пристап. сертификат за домен, кои тие не ги контролираат. На пример, пред една година, беше демонстрирано дека е можно да се добијат TLS сертификати за други домени во зоната „.mobi“ со киднапирање на застарената WHOIS услуга на регистраторот на домени.
Список на методи за верификација на сопственост на домен кои се застарени:
- Испраќање е-пошта, факс, СМС-порака или хартиено писмо до контакт информациите наведени за доменот во базата на податоци WHOIS или во SOA записот во DNS.
- Испраќање е-пошта, факс, СМС-порака или хартиено писмо до контакт информациите наведени за поврзаниот домен IP адреси.
- Испраќање на код за верификација на стандардни е-адреси како што се admin@, administrator@, webmaster@, hostmaster@ и postmaster@.
- Испраќање на код за верификација на е-поштата наведена во CAA записот на доменот во DNS.
- Испраќање на код за верификација на е-поштата наведена во TXT записот на доменот во DNS.
- Потврда со телефонски повик на бројот наведен како контакт број за доменот.
- Потврда со телефонски повик на бројот наведен во TXT записот на доменот во DNS.
- Потврда преку телефонски повик на бројот наведен во CAA записот на доменот во DNS.
- Потврда со телефонски повик на бројот наведен како контакт број за IP адресата со која е поврзан доменот.
- Проверки врз основа на потврда за сопственост на IP-адресата регистрирана за доменот во DNS.
- Проверки базирани на обратна резолуција на IP адреса.
Извор: opennet.ru
