IETF അംഗീകരിച്ച ACME - ഇത് SSL സർട്ടിഫിക്കറ്റുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്നതിനുള്ള ഒരു മാനദണ്ഡമാണ്

IETF അംഗീകരിച്ചു സ്റ്റാൻഡേർഡ് ഓട്ടോമാറ്റിക് സർട്ടിഫിക്കറ്റ് മാനേജ്മെന്റ് എൻവയോൺമെന്റ് (ACME), ഇത് SSL സർട്ടിഫിക്കറ്റുകളുടെ രസീത് ഓട്ടോമേറ്റ് ചെയ്യാൻ സഹായിക്കും. ഇത് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് നമുക്ക് പറയാം.

/flickr/ ക്ലിഫ് ജോൺസൺ / CC BY-SA

എന്തുകൊണ്ടാണ് സ്റ്റാൻഡേർഡ് ആവശ്യമായിരുന്നത്?

ഓരോ ക്രമീകരണത്തിനും ശരാശരി SSL സർട്ടിഫിക്കറ്റ് ഒരു ഡൊമെയ്‌നിനായി, അഡ്‌മിനിസ്‌ട്രേറ്റർക്ക് ഒന്ന് മുതൽ മൂന്ന് മണിക്കൂർ വരെ ചെലവഴിക്കാനാകും. തെറ്റ് പറ്റിയാൽ അപേക്ഷ നിരസിക്കുന്നത് വരെ കാത്തിരിക്കേണ്ടി വരും, എങ്കിൽ മാത്രമേ വീണ്ടും സമർപ്പിക്കാൻ കഴിയൂ. ഇതെല്ലാം വലിയ തോതിലുള്ള സംവിധാനങ്ങൾ വിന്യസിക്കുന്നത് ബുദ്ധിമുട്ടാക്കുന്നു.

ഓരോ സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയുടെയും ഡൊമെയ്ൻ മൂല്യനിർണ്ണയ നടപടിക്രമം വ്യത്യസ്തമായിരിക്കാം. സ്റ്റാൻഡേർഡൈസേഷന്റെ അഭാവം ചിലപ്പോൾ സുരക്ഷാ പ്രശ്നങ്ങളിലേക്ക് നയിക്കുന്നു. പ്രശസ്തമായ കേസ്സിസ്റ്റത്തിലെ ഒരു ബഗ് കാരണം, ഒരു CA എല്ലാ പ്രഖ്യാപിത ഡൊമെയ്‌നുകളും പരിശോധിച്ചപ്പോൾ. അത്തരം സാഹചര്യങ്ങളിൽ, വഞ്ചനാപരമായ വിഭവങ്ങൾക്ക് SSL സർട്ടിഫിക്കറ്റുകൾ നൽകിയേക്കാം.

IETF അംഗീകരിച്ച ACME പ്രോട്ടോക്കോൾ (സ്പെസിഫിക്കേഷൻ RFC8555) ഒരു സർട്ടിഫിക്കറ്റ് നേടുന്നതിനുള്ള പ്രക്രിയ ഓട്ടോമേറ്റ് ചെയ്യുകയും സ്റ്റാൻഡേർഡ് ചെയ്യുകയും വേണം. കൂടാതെ ഹ്യൂമൻ ഫാക്ടർ ഇല്ലാതാക്കുന്നത് ഡൊമെയ്ൻ നെയിം സ്ഥിരീകരണത്തിന്റെ വിശ്വാസ്യതയും സുരക്ഷയും വർദ്ധിപ്പിക്കാൻ സഹായിക്കും.

സ്റ്റാൻഡേർഡ് തുറന്നതാണ്, ആർക്കും അതിന്റെ വികസനത്തിന് സംഭാവന നൽകാം. IN GitHub-ലെ റിപ്പോസിറ്ററികൾ ബന്ധപ്പെട്ട നിർദ്ദേശങ്ങൾ പ്രസിദ്ധീകരിച്ചു.

എങ്ങനെ പ്രവർത്തിക്കുന്നില്ല

JSON സന്ദേശങ്ങൾ ഉപയോഗിച്ച് HTTPS വഴി ACME-യിൽ അഭ്യർത്ഥനകൾ കൈമാറ്റം ചെയ്യപ്പെടുന്നു. പ്രോട്ടോക്കോളിനൊപ്പം പ്രവർത്തിക്കാൻ, നിങ്ങൾ ടാർഗെറ്റ് നോഡിൽ ACME ക്ലയന്റ് ഇൻസ്റ്റാൾ ചെയ്യേണ്ടതുണ്ട്; നിങ്ങൾ ആദ്യമായി CA ആക്‌സസ് ചെയ്യുമ്പോൾ ഇത് ഒരു അദ്വിതീയ കീ ജോഡി സൃഷ്ടിക്കുന്നു. തുടർന്ന്, ക്ലയന്റിൽ നിന്നും സെർവറിൽ നിന്നുമുള്ള എല്ലാ സന്ദേശങ്ങളിലും ഒപ്പിടാൻ അവ ഉപയോഗിക്കും.

ആദ്യ സന്ദേശത്തിൽ ഡൊമെയ്ൻ ഉടമയെക്കുറിച്ചുള്ള കോൺടാക്റ്റ് വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു. ഇത് സ്വകാര്യ കീ ഉപയോഗിച്ച് ഒപ്പിടുകയും പൊതു കീ സഹിതം സെർവറിലേക്ക് അയയ്ക്കുകയും ചെയ്യുന്നു. ഇത് ഒപ്പിന്റെ ആധികാരികത പരിശോധിക്കുന്നു, എല്ലാം ക്രമത്തിലാണെങ്കിൽ, ഒരു SSL സർട്ടിഫിക്കറ്റ് നൽകുന്നതിനുള്ള നടപടിക്രമം ആരംഭിക്കുന്നു.

ഒരു സർട്ടിഫിക്കറ്റ് ലഭിക്കുന്നതിന്, ക്ലയന്റ് തന്റെ ഡൊമെയ്‌നിന്റെ ഉടമയാണെന്ന് സെർവറിനോട് തെളിയിക്കണം. ഇത് ചെയ്യുന്നതിന്, ഉടമയ്ക്ക് മാത്രം ലഭ്യമായ ചില പ്രവർത്തനങ്ങൾ അവൻ ചെയ്യുന്നു. ഉദാഹരണത്തിന്, ഒരു സർട്ടിഫിക്കറ്റ് അതോറിറ്റിക്ക് ഒരു അദ്വിതീയ ടോക്കൺ സൃഷ്ടിക്കാനും അത് സൈറ്റിൽ സ്ഥാപിക്കാൻ ക്ലയന്റിനോട് ആവശ്യപ്പെടാനും കഴിയും. അടുത്തതായി, ഈ ടോക്കണിൽ നിന്ന് കീ വീണ്ടെടുക്കാൻ CA ഒരു വെബ് അല്ലെങ്കിൽ DNS അന്വേഷണം നൽകുന്നു.

ഉദാഹരണത്തിന്, HTTP-യുടെ കാര്യത്തിൽ, ടോക്കണിൽ നിന്നുള്ള കീ വെബ് സെർവർ നൽകുന്ന ഒരു ഫയലിൽ സ്ഥാപിക്കണം. ഡിഎൻഎസ് പരിശോധനയ്ക്കിടെ, ഡിഎൻഎസ് റെക്കോർഡിന്റെ ടെക്സ്റ്റ് ഡോക്യുമെന്റിൽ സർട്ടിഫിക്കേഷൻ അതോറിറ്റി ഒരു അദ്വിതീയ കീയ്ക്കായി നോക്കും. എല്ലാം ശരിയാണെങ്കിൽ, ക്ലയന്റ് സാധൂകരിച്ചതായി സെർവർ സ്ഥിരീകരിക്കുകയും CA ഒരു സർട്ടിഫിക്കറ്റ് നൽകുകയും ചെയ്യുന്നു.

/flickr/ Blondinrikard Fröberg / സിസി ബൈ

അഭിപ്രായങ്ങൾ

വഴി അനുസരിച്ച് ഒന്നിലധികം ഡൊമെയ്ൻ നാമങ്ങളിൽ പ്രവർത്തിക്കേണ്ട അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് IETF, ACME ഉപയോഗപ്രദമാകും. അവ ഓരോന്നും ആവശ്യമായ SSL-കളിലേക്ക് ലിങ്ക് ചെയ്യാൻ സ്റ്റാൻഡേർഡ് സഹായിക്കും.

സ്റ്റാൻഡേർഡിന്റെ ഗുണങ്ങളിൽ, വിദഗ്ധരും പലതും ശ്രദ്ധിക്കുന്നു സുരക്ഷാ സംവിധാനങ്ങൾ. എസ്എസ്എൽ സർട്ടിഫിക്കറ്റുകൾ യഥാർത്ഥ ഡൊമെയ്ൻ ഉടമകൾക്ക് മാത്രമേ നൽകുന്നുള്ളൂവെന്ന് അവർ ഉറപ്പാക്കണം. പ്രത്യേകിച്ചും, DNS ആക്രമണങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിന് ഒരു കൂട്ടം വിപുലീകരണങ്ങൾ ഉപയോഗിക്കുന്നു ഡിഎൻഎസ്എസ്ഇസി, കൂടാതെ DoS-ൽ നിന്ന് പരിരക്ഷിക്കുന്നതിന്, സ്റ്റാൻഡേർഡ് വ്യക്തിഗത അഭ്യർത്ഥനകളുടെ നിർവ്വഹണ വേഗത പരിമിതപ്പെടുത്തുന്നു - ഉദാഹരണത്തിന്, രീതിക്കായുള്ള HTTP പോസ്റ്റ്. ACME ഡവലപ്പർമാർ തന്നെ ശുപാർശ ചെയ്യുന്നു സുരക്ഷ മെച്ചപ്പെടുത്തുന്നതിന്, ഡിഎൻഎസ് അന്വേഷണങ്ങളിലേക്ക് എൻട്രോപ്പി ചേർക്കുകയും നെറ്റ്‌വർക്കിലെ ഒന്നിലധികം പോയിന്റുകളിൽ നിന്ന് അവ നടപ്പിലാക്കുകയും ചെയ്യുക.

സമാനമായ പരിഹാരങ്ങൾ

സർട്ടിഫിക്കറ്റുകൾ ലഭിക്കുന്നതിനും പ്രോട്ടോക്കോളുകൾ ഉപയോഗിക്കുന്നു എസ്.സി.ഇ.പി и EST.

ആദ്യത്തേത് സിസ്‌കോ സിസ്റ്റംസിൽ വികസിപ്പിച്ചെടുത്തു. X.509 ഡിജിറ്റൽ സർട്ടിഫിക്കറ്റുകൾ നൽകുന്നതിനുള്ള നടപടിക്രമം ലളിതമാക്കുകയും അത് കഴിയുന്നത്ര സ്കെയിലബിൾ ആക്കുകയും ചെയ്യുക എന്നതായിരുന്നു ഇതിന്റെ ലക്ഷ്യം. എസ്‌സി‌ഇ‌പിക്ക് മുമ്പ്, ഈ പ്രക്രിയയ്ക്ക് സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാരുടെ സജീവ പങ്കാളിത്തം ആവശ്യമാണ്, മാത്രമല്ല അത് നന്നായി സ്കെയിൽ ചെയ്തില്ല. ഇന്ന് ഈ പ്രോട്ടോക്കോൾ ഏറ്റവും സാധാരണമായ ഒന്നാണ്.

EST-യെ സംബന്ധിച്ചിടത്തോളം, സുരക്ഷിത ചാനലുകളിലൂടെ സർട്ടിഫിക്കറ്റുകൾ നേടാൻ ഇത് PKI ക്ലയന്റുകളെ അനുവദിക്കുന്നു. സന്ദേശ കൈമാറ്റത്തിനും എസ്എസ്എൽ ഇഷ്യൂസിനും ഇത് TLS ഉപയോഗിക്കുന്നു, അതുപോലെ തന്നെ അയച്ചയാളുമായി CSR ബന്ധിപ്പിക്കുന്നു. കൂടാതെ, EST എലിപ്റ്റിക് ക്രിപ്റ്റോഗ്രഫി രീതികളെ പിന്തുണയ്ക്കുന്നു, ഇത് ഒരു അധിക സുരക്ഷാ പാളി സൃഷ്ടിക്കുന്നു.

വഴി വിദഗ്ധ അഭിപ്രായം, ACME പോലുള്ള പരിഹാരങ്ങൾ കൂടുതൽ വ്യാപകമാകേണ്ടതുണ്ട്. അവർ ലളിതവും സുരക്ഷിതവുമായ SSL സജ്ജീകരണ മോഡൽ വാഗ്ദാനം ചെയ്യുന്നു, കൂടാതെ പ്രക്രിയ വേഗത്തിലാക്കുകയും ചെയ്യുന്നു.

ഞങ്ങളുടെ കോർപ്പറേറ്റ് ബ്ലോഗിൽ നിന്നുള്ള അധിക പോസ്റ്റുകൾ:

• ഒരു സ്ഥാപനത്തിന്റെ ഐടി ഇൻഫ്രാസ്ട്രക്ചറിനുള്ള ഓപ്ഷനുകൾ
• ഫയലുകൾ ബാക്കപ്പ് ചെയ്യുന്നു: ഡാറ്റ നഷ്‌ടത്തിൽ നിന്ന് സ്വയം എങ്ങനെ പരിരക്ഷിക്കാം
• അഡ്‌മിനുകൾക്കുള്ള പരിശീലന സ്റ്റാൻഡ്: ക്ലൗഡിന് എങ്ങനെ സഹായിക്കാനാകും
• 1 ക്ലൗഡ് ക്ലൗഡ് ആർക്കിടെക്ചറിന്റെ പരിണാമം

അവലംബം: www.habr.com