CA/Browser Forum, en plattform for samarbeidende beslutningstaking som ivaretar interessene til nettleserleverandører og sertifiseringsinstanser, har godkjent nye krav for organisasjoner som utsteder HTTPS-sertifikater. De nye kravene avskriver 11 metoder for å bekrefte eierskap til domenet som et sertifikat er utstedt for. Støtte for disse avskrevete metodene vil bli faset ut innen mars 2028. Den oppgitte grunnen til avskrivningen av støtten er å fokusere på automatiserte og kryptografisk verifiserbare verifiseringsmetoder.
Metoder knyttet til bruk av WHOIS-informasjon, bekreftelse av kontaktinformasjon via e-post, telefonsamtaler, fakser, SMS eller papirbrev, og verifisering basert på verifisering av eierskap til IP-adressen som er registrert for domenet i DNS, er avviklet. Det forventes at avvikling av støtten for disse verifiseringsmetodene vil eliminere smutthull som potensielt kan gi angripere tilgang. sertifikat for et domene, som de ikke kontrollerer. For eksempel ble det for et år siden demonstrert at det var mulig å få tak i TLS-sertifikater for andre domener i «.mobi»-sonen ved å kapre den utdaterte WHOIS-tjenesten til domeneregistratoren.
Liste over metoder for bekreftelse av domeneeierskap som er avviklet:
- Sende e-post, faks, SMS eller papirbrev til kontaktinformasjonen som er spesifisert for domenet i WHOIS-databasen eller i SOA-oppføringen i DNS.
- Sende en e-post, faks, SMS eller papirbrev til kontaktinformasjonen som er spesifisert for det tilknyttede domenet. IP-adresser.
- Sende en bekreftelseskode til standard e-postadresser som admin@, administrator@, webmaster@, hostmaster@ og postmaster@.
- Sender en bekreftelseskode til e-postadressen som er angitt i domenets CAA-oppføring i DNS.
- Sender en bekreftelseskode til e-postadressen som er spesifisert i domenets TXT-oppføring i DNS.
- Bekreftelse via telefonoppringning til nummeret som er angitt som kontaktnummer for domenet.
- Bekreftelse via telefonoppringning til nummeret som er spesifisert i domenets TXT-oppføring i DNS.
- Bekreftelse via telefonoppringning til nummeret som er spesifisert i domenets CAA-oppføring i DNS.
- Bekreftelse via telefonoppringning til nummeret som er angitt som kontaktnummer for IP-adressen som domenet er knyttet til.
- Sjekker basert på bekreftelse av eierskap til IP-adressen som er registrert for domenet i DNS.
- Sjekker basert på omvendt IP-adresseoppløsning.
Kilde: opennet.ru
