Niet-commerciële certificeringsinstantie , beheerd door de gemeenschap en biedt certificaten kosteloos aan iedereen die dat wenst, over de implementatie van een nieuw schema voor het bevestigen van bevoegdheden voor het verkrijgen van een certificaat voor een domein. De aanvraag aan de server waarop de gebruikte verificatiecatalogus " /.well-known/acme-challenge/ " is geplaatst, zal nu worden uitgevoerd met behulp van meerdere HTTP-verzoeken, verzonden vanaf 4 verschillende IP-adressen, gelegen in verschillende datacenters en behorende tot verschillende autonome systemen. Verificatie wordt als succesvol beschouwd als minimaal 3 van de 4 verzoeken van verschillende IP's succesvol zijn.
Verificatie vanuit meerdere subnetten zal de risico's minimaliseren van het verkrijgen van certificaten voor andermans domeinen door middel van gerichte aanvallen die verkeer omleiden via valse routes met behulp van BGP. Bij het gebruik van een multi-position verificatiesysteem moet de aanvaller gelijktijdig routes voor verschillende autonome systemen van providers met verschillende uplinks omleiden, wat aanzienlijk complexer is dan het omleiden van een enkele route. Het verzenden van verzoeken vanaf verschillende IP's verhoogt bovendien de betrouwbaarheid van de verificatie in het geval dat afzonderlijke hosts van Let’s Encrypt op blokkadelijsten komen (bijvoorbeeld in de RF zijn sommige IP's van letsencrypt.org geblokkeerd door Roskomnadzor).
Tot 1 juni zal er een overgangsperiode zijn waarin het mogelijk is om certificaten te genereren bij succesvolle verificatie vanuit het primaire datacenter, wanneer de host vanuit de andere subnetten niet toegankelijk is (bijvoorbeeld, dit kan gebeuren als de beheerder van de host op de firewall alleen verzoeken vanaf het primaire datacenter van Let’s Encrypt heeft toegestaan, of door een synchronisatieprobleem in de DNS-werknamen). Op basis van de logs zal er een witte lijst worden voorbereid voor domeinen die problemen hebben met verificatie vanaf 3 extra datacenters. Alleen domeinen met ingevulde contactgegevens komen op de witte lijst. Als een domein niet automatisch op de witte lijst komt, kan ook een aanvraag voor opname worden ingediend via .
Tegenwoordig heeft het Let’s Encrypt-project 113 miljoen certificaten uitgegeven, die ongeveer 190 miljoen domeinen dekken (een jaar geleden waren er 150 miljoen domeinen, en twee jaar geleden 61 miljoen). Volgens statistieken van de Firefox Telemetriedienst bedraagt het wereldwijde aandeel van pagina-aanvragen via HTTPS 81% (een jaar geleden 77%, twee jaar geleden 69%), en in de VS is dit 91%.
Daarnaast kan worden opgemerkt, Apple
het vertrouwen in certificaten in de Safari-browser te beëindigen, waarvan de levensduur meer dan 398 dagen (13 maanden) is. Deze beperking zal alleen worden ingevoerd voor certificaten die vanaf 1 september 2020 zijn uitgegeven. Voor certificaten die vóór 1 september zijn verkregen met een lange geldigheidsduur, blijft het vertrouwen bestaan, maar beperkt tot 825 dagen (2,2 jaar).
Deze wijziging kan een negatieve impact hebben op de bedrijven die goedkeuringscentra zijn en goedkope certificaten met een lange geldigheidsduur van maximaal 5 jaar verkopen. Apple is van mening dat de generatie van dergelijke certificaten extra beveiligingsrisico's met zich meebrengt, het snelle implementeren van nieuwe cryptostandaarden belemmert en kwaadaardige actoren in staat stelt om gedurende lange tijd het verkeer van hun slachtoffers te controleren of phishing-aanvallen uit te voeren in het geval van een onopgemerkte lek van een certificaat als gevolg van een hack.
Bron: opennet.ru
