De CA/Browser Forum, dat fungeert als platform voor gezamenlijke besluitvorming met aandacht voor de belangen van browserfabrikanten en certificeringsinstanties, heeft nieuwe eisen goedgekeurd voor organisaties die certificaten voor HTTPS uitgeven. In de nieuwe eisen zijn 11 methoden voor het verifiƫren van eigendom van het domein waarvoor het certificaat wordt uitgegeven, verouderd verklaard. De beƫindiging van de ondersteuning voor deze verouderde methoden zal geleidelijk worden doorgevoerd tot maart 2028. Als redenen voor het stoppen van de ondersteuning worden de focus op automatisch uitvoerbare en cryptografisch verifieerbare verificatiemethoden genoemd.
De verouderde methoden zijn diegene die verband houden met het gebruik van informatie uit de WHOIS-service, bevestiging van contactgegevens via e-mail, telefoongesprekken, faxen, sms-berichten of papieren brieven, evenals verificatie op basis van de controle van eigendom van het IP-adres dat is voorgeschreven voor het domein in DNS. Het wordt verwacht dat de stopzetting van de ondersteuning van de genoemde verificatiemethoden zal helpen om achterdeurtjes te elimineren die aanvallers mogelijk in staat stelden om een certificaat voor het domein, die zij niet controleren. Bijvoorbeeld, een jaar geleden werd de mogelijkheid gedemonstreerd om TLS-certificaten te verkrijgen voor vreemde domeinen in de '.mobi'-zone door het overnemen van de verouderde WHOIS-service van de registrar van deze domeinnaamzone.
Lijst van domein-eigendomsverificatietechnieken die verouderd zijn verklaard:
- Verzending van e-mail, fax, sms of een papieren brief naar de contactgegevens die voor het domein zijn opgegeven in de WHOIS-database of in het SOA-record in DNS.
- Verzending van e-mail, fax, sms of een papieren brief naar de contactgegevens die zijn opgegeven voor de bij het domein betrokken IP-adressen.
- Verzending van een verificatiecode naar standaard e-mails zoals admin@, administrator@, webmaster@, hostmaster@ en postmaster@.
- Verzending van een verificatiecode naar het e-mailadres dat in de CAA-record van het domein in DNS is opgegeven.
- Verzending van een verificatiecode naar het e-mailadres dat in de TXT-record van het domein in DNS is opgegeven.
- Bevestiging per telefoongesprek naar het nummer dat is opgegeven als contactnummer voor het domein.
- Bevestiging per telefoongesprek naar het nummer dat is opgegeven in de TXT-record van het domein in DNS.
- Bevestiging per telefoongesprek naar het nummer dat is opgegeven in de CAA-record van het domein in DNS.
- Bevestiging per telefoongesprek naar het nummer dat is opgegeven als contactnummer voor het IP-adres dat aan het domein is gekoppeld.
- Controle op basis van de bevestiging van eigendom van het IP-adres dat is geregistreerd voor het domein in DNS.
- Controle op basis van omgekeerde IP-resolutie.
Bron: opennet.ru
