, en samen aangekondigd een nieuwe TLS-extensie (DC), dat het probleem met certificaten oplost bij het organiseren van toegang tot de website via content delivery netwerken. De door certificeringsinstanties uitgegeven certificaten hebben een lange levensduur, wat problemen creëert bij het organiseren van toegang tot de website via een externe dienst, waarvoor een beveiligde verbinding moet worden opgezet, aangezien de overdracht van het websitecertificaat naar de externe dienst extra beveiligingsrisico's met zich meebrengt.
De nieuwe extensie kan ook nuttig blijken voor websites die worden ondersteund door grote gedistribueerde infrastructuren met veel load balancers. Delegated Credentials voorkomt dat er kopieën van de privé-sleutels van hoofdcertificaten op elke content delivery-node worden opgeslagen. Bij de klassieke aanpak zal een succesvolle aanval op een van de servers die betrokken zijn bij het leveren van HTTPS-verkeer leiden tot compromittering van het gehele certificaat. Bij het overdragen van de privé-sleutels aan content delivery netwerken ontstaan er risico's op gegevenslekken als gevolg van sabotage door personeel, acties van inlichtingendiensten of compromittering van de CDN-infrastructuur.
Als een lek van sleutels onopgemerkt blijft, kunnen degenen die toegang krijgen tot de sleutels gedurende een aanzienlijke periode onopgemerkt het verkeer van de website in de gaten houden (MITM), aangezien de geldigheidsduur van de certificaten wordt gemeten in maanden en jaren. Bij Cloudflare kunnen speciale sleutelservers worden gebruikt om certificaatsleutels te beschermen, die aan de zijde van de website-eigenaar functioneren, maar werken in deze modus leidt tot merkbare vertragingen in de verkeersafgifte, vermindert de betrouwbaarheid door de toevoeging van een extra schakel en vereist de implementatie van complexe infrastructuur.
De voorgestelde TLS-extensie Delegated Credentials introduceert een extra tussenliggende privésleutel, waarvan de geldigheid is beperkt tot uren of enkele dagen (maximaal 7 dagen). Deze sleutel wordt gegenereerd op basis van het door de certificeringsinstantie verleende certificaat en maakt het mogelijk om de privésleutel van het oorspronkelijke certificaat geheim te houden voor content delivery diensten, door hen alleen een tijdelijk certificaat met een korte levensduur te verstrekken.
Om problemen met toegang na de levensduur van de tussenliggende sleutel te voorkomen, is er een technologie voor automatische vernieuwing, uitgevoerd aan de kant van de primaire TLS-server. Voor de generatie zijn geen handmatige handelingen of scriptuitvoeringen nodig — de geautoriseerde server, die een privé sleutel nodig heeft, neemt vóór het verstrijken van de levensduur van de vorige sleutel contact op met de primaire TLS-server van de site en deze genereert een tussenliggende sleutel voor een nieuwe korte periode.
Browsers die de TLS-uitbreiding Delegated Credentials ondersteunen, zullen dergelijke afgeleide certificaten als betrouwbaar beschouwen. Bijvoorbeeld, de ondersteuning van deze uitbreiding is al toegevoegd aan de nachtelijke builds en bètaversies van Firefox en kan worden geactiveerd in about:config door de instelling "security.tls.enable_delegated_credentials" te wijzigen. In het midden van november is het ook gepland om een experiment uit te voeren onder een bepaald percentage van de gebruikers van de testversies van Firefox.In het kader waarvan een testverzoek naar de DC-server van Cloudflare zal worden verzonden om de kwaliteit van de implementatie van de nieuwe TLS-uitbreiding te controleren. Ondersteuning voor Delegated Credentials is ook al ingebouwd in de implementatie van TLS 1.3.
De specificatie van Delegated Credentials is overgedragen aan de IETF-commissie (Internet Engineering Task Force), die zich bezighoudt met de ontwikkeling van protocollen en architectuur van het internet, en is momenteel in de fase , dat aanspraak maakt op de status van internetstandaard. De uitbreiding Delegated Credentials kan alleen worden toegepast met TLSv1.3.
Voor het genereren van tussenliggende sleutels is het verkrijgen van een TLS-certificaat vereist, dat een speciale X.509-uitbreiding bevat, welke momenteel alleen wordt ondersteund door het certificeringscentrum DigiCert.
Bron: opennet.ru
