{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"IETF heeft ACME goedgekeurd - een standaard voor het werken met SSL-certificaten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

IETF heeft goedgekeurd standaard<\/a><\/noindex> Automatic Certificate Management Environment (ACME), dat helpt bij het automatiseren van het verkrijgen van SSL-certificaten. We leggen uit hoe dit werkt.<\/p>\n

\"IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Waarom er een standaard nodig was<\/h2>\n

\nGemiddeld kan een beheerder tussen de \u00e9\u00e9n en drie uur besteden aan de configuratie SSL-certificaat<\/a><\/noindex> voor een domein. Als er een fout wordt gemaakt, moet men wachten totdat de aanvraag is afgewezen; pas daarna kan deze opnieuw worden ingediend. Dit bemoeilijkt de uitrol van grootschalige systemen.<\/p>\n

De validatieprocedure voor een domein kan per certificeringscentrum verschillen. Het ontbreken van standaardisatie leidt soms tot beveiligingsproblemen. Bekend is de situatie<\/a><\/noindex>, waarin door een bug in het systeem een CA alle opgegeven domeinen heeft geverifieerd. In dergelijke situaties kunnen SSL-certificaten worden uitgegeven aan frauduleuze bronnen.<\/p>\n

Het goedgekeurde IETF-protocol ACME (specificatie RFC8555<\/a><\/noindex>) moet het proces van het verkrijgen van een certificaat automatiseren en standaardiseren. Het uitsluiten van de menselijke factor zal helpen de betrouwbaarheid en veiligheid van de verificatie van de domeinnaam te verhogen.<\/p>\n

De standaard is open en iedereen kan bijdragen aan de ontwikkeling ervan. In repository op GitHub<\/a><\/noindex> zijn de bijbehorende instructies gepubliceerd.<\/p>\n

Hoe het werkt<\/h2>\n

\nDe uitwisseling van verzoeken in ACME vindt plaats via HTTPS met behulp van JSON-berichten. Voor het werken met het protocol moet een ACME-client op de doelsite worden ge\u00efnstalleerd, die bij de eerste aanvraag aan de CA een unieke sleutelpair genereert. Deze zullen later worden gebruikt om alle berichten van de cli\u00ebnt en de server te ondertekenen.<\/p>\n

Het eerste bericht bevat contactinformatie over de eigenaar van het domein. Het wordt ondertekend met een priv\u00e9sleutel en samen met de openbare sleutel naar de server gestuurd. Deze controleert de authenticiteit van de handtekening en als alles in orde is, begint de procedure voor het verstrekken van het SSL-certificaat.<\/p>\n

Om een certificaat te verkrijgen, moet de cli\u00ebnt de server bewijzen dat hij eigenaar is van het domein. Hiervoor voert hij bepaalde handelingen uit die alleen de eigenaar kan doen. Bijvoorbeeld, het certificeringscentrum kan een unieke token genereren en de cli\u00ebnt vragen deze op de website te plaatsen. Vervolgens genereert de CA een web- of DNS-verzoek om de sleutel uit deze token te extraheren.<\/p>\n

Bijvoorbeeld, in het geval van HTTP moet de sleutel uit de token worden geplaatst in een bestand dat door de webserver wordt bediend. Bij DNS-validatie zal het certificeringscentrum naar de unieke sleutel in het tekstdocument van de DNS-record zoeken. Als alles in orde is, bevestigt de server dat de klant is gevalideerd en geeft de CA het certificaat uit.<\/p>\n

\"IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

Meningen<\/h2>\n

\nVolgens woord<\/a><\/noindex> IETF, ACME zal nuttig zijn voor beheerders die met meerdere domeinnamen moeten werken. De standaard helpt om elk daarvan aan de juiste SSL te koppelen.<\/p>\n

Onder de voordelen van de standaard wijzen experts ook op verschillende beveiligingsmechanismen<\/a><\/noindex>. Deze moeten garanderen dat SSL-certificaten alleen aan de echte eigenaren van domeinen worden uitgegeven. In het bijzonder worden een reeks extensies gebruikt ter bescherming tegen DNS-aanvallen, DNSSEC<\/a><\/noindex>, en ter bescherming tegen DoS beperkt de standaard de snelheid van de uitvoering van afzonderlijke verzoeken \u2014 bijvoorbeeld HTTP voor de methode PUT<\/a><\/noindex>. De ontwikkelaars van ACME Je kunt je ook abonneren op<\/a><\/noindex> voegen entropie toe aan DNS-verzoeken en voeren deze uit vanuit meerdere punten in het netwerk om de veiligheid te verhogen.<\/p>\n

Er zijn verschillende alternatieven op de markt die door grote IT-bedrijven worden ontwikkeld: AMD en Intel.<\/h2>\n

\nVoor het verkrijgen van certificaten worden ook de protocollen SCEP<\/a><\/noindex> en EST<\/a><\/noindex>.<\/p>\n

De eerste werd ontwikkeld door Cisco Systems. Het doel was om de procedure voor het uitgeven van digitale certificaten X.509 te vereenvoudigen en zo schaalbaar mogelijk te maken. Voor de komst van SCEP vereiste dit proces actieve betrokkenheid van systeembeheerders en was het moeilijk schaalbaar. Tegenwoordig is dit protocol een van de meest gebruikte.<\/p>\n

Wat betreft EST, dit stelt PKI-klanten in staat om certificaten via veilige kanalen te verkrijgen. Het gebruikt TLS voor de verzending van berichten en de uitgifte van SSL, evenals voor het koppelen van CSR aan de afzender. Bovendien ondersteunt EST methoden van elliptische cryptografie, wat een extra beveiligingslaag biedt.<\/p>\n

Volgens volgens experts<\/a><\/noindex>, oplossingen zoals ACME zullen breder geaccepteerd moeten worden. Ze bieden een vereenvoudigd en veilig model voor het instellen van SSL en versnellen het proces.<\/p>\n

Extra berichten van onze bedrijfsblog:<\/h5>\n

<\/p>\n