{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"IETF zatwierdzi\u0142a ACME \u2014 to standard do pracy z certyfikatami SSL","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

IETF zatwierdzi\u0142 standard<\/a><\/noindex> Automatic Certificate Management Environment (ACME), kt\u00f3ry pomo\u017ce zautomatyzowa\u0107 uzyskiwanie certyfikat\u00f3w SSL. Wyja\u015bniamy, jak to dzia\u0142a.<\/p>\n

\"IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Dlaczego ten standard by\u0142 potrzebny<\/h2>\n

\n\u015arednio na konfiguracj\u0119 certyfikatu SSL<\/a><\/noindex> dla domeny administrator mo\u017ce po\u015bwi\u0119ci\u0107 od jednej do trzech godzin. Je\u015bli pope\u0142ni b\u0142\u0105d, trzeba b\u0119dzie czeka\u0107 na odrzucenie wniosku, a dopiero potem b\u0119dzie mo\u017cna z\u0142o\u017cy\u0107 go ponownie. Wszystko to utrudnia wdra\u017canie system\u00f3w na du\u017c\u0105 skal\u0119.<\/p>\n

Procedura walidacji domeny mo\u017ce si\u0119 r\u00f3\u017cni\u0107 w zale\u017cno\u015bci od centrum certyfikacji. Brak standaryzacji czasem prowadzi do problem\u00f3w z bezpiecze\u0144stwem. Znany jest przypadek<\/a><\/noindex>, gdy z powodu b\u0142\u0119du w systemie jedno CA zweryfikowa\u0142o wszystkie zg\u0142oszone domeny. W takich sytuacjach certyfikaty SSL mog\u0105 zosta\u0107 wydane oszuka\u0144czym zasobom.<\/p>\n

Zatwierdzony przez IETF protok\u00f3\u0142 ACME (specyfikacja RFC8555<\/a><\/noindex>) ma zautomatyzowa\u0107 i ustandaryzowa\u0107 proces uzyskiwania certyfikatu. Wyeliminowanie czynnika ludzkiego pomo\u017ce te\u017c zwi\u0119kszy\u0107 niezawodno\u015b\u0107 i bezpiecze\u0144stwo weryfikacji nazwy domeny.<\/p>\n

Standard jest otwarty i ka\u017cdy zainteresowany mo\u017ce wnie\u015b\u0107 wk\u0142ad w jego rozw\u00f3j. W repozytorium na GitHubie<\/a><\/noindex> opublikowano odpowiednie instrukcje.<\/p>\n

Jak to dzia\u0142a<\/h2>\n

\nWymiana \u017c\u0105da\u0144 w ACME odbywa si\u0119 przez HTTPS za pomoc\u0105 komunikat\u00f3w JSON. Aby korzysta\u0107 z protoko\u0142u, nale\u017cy zainstalowa\u0107 klienta ACME na docelowym w\u0119\u017ale; przy pierwszym po\u0142\u0105czeniu z CA generuje on unikaln\u0105 par\u0119 kluczy. P\u00f3\u017aniej b\u0119d\u0105 one u\u017cywane do podpisywania wszystkich komunikat\u00f3w klienta i serwera.<\/p>\n

Pierwszy komunikat zawiera dane kontaktowe w\u0142a\u015bciciela domeny. Jest podpisywany kluczem prywatnym i wraz z kluczem publicznym wysy\u0142any do serwera. Serwer sprawdza autentyczno\u015b\u0107 podpisu i je\u015bli wszystko jest w porz\u0105dku, rozpoczyna procedur\u0119 wydania certyfikatu SSL.<\/p>\n

Aby uzyska\u0107 certyfikat, klient musi udowodni\u0107 serwerowi, \u017ce jest w\u0142a\u015bcicielem domeny. W tym celu wykonuje okre\u015blone dzia\u0142ania, dost\u0119pne wy\u0142\u0105cznie dla w\u0142a\u015bciciela. Na przyk\u0142ad centrum certyfikacji mo\u017ce wygenerowa\u0107 unikalny token i poprosi\u0107 klienta o umieszczenie go na stronie. Nast\u0119pnie CA tworzy \u017c\u0105danie webowe lub DNS, aby pobra\u0107 klucz z tego tokena.<\/p>\n

Na przyk\u0142ad w przypadku HTTP klucz z tokena nale\u017cy umie\u015bci\u0107 w pliku obs\u0142ugiwanym przez serwer WWW. Przy weryfikacji DNS urz\u0105d certyfikacji b\u0119dzie szuka\u0142 unikalnego klucza w dokumencie tekstowym rekordu DNS. Je\u015bli wszystko si\u0119 zgadza, serwer potwierdza, \u017ce klient przeszed\u0142 walidacj\u0119, a CA wydaje certyfikat.<\/p>\n

\"IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

Opinie<\/h2>\n

\nWed\u0142ug s\u0142owami<\/a><\/noindex> Wed\u0142ug IETF ACME b\u0119dzie szczeg\u00f3lnie przydatny dla administrator\u00f3w, kt\u00f3rzy musz\u0105 pracowa\u0107 z wieloma nazwami domen. Standard pomo\u017ce powi\u0105za\u0107 ka\u017cd\u0105 z nich z odpowiednim SSL.<\/p>\n

W\u015br\u00f3d zalet standardu eksperci wskazuj\u0105 r\u00f3wnie\u017c kilka mechanizm\u00f3w bezpiecze\u0144stwa<\/a><\/noindex>. Maj\u0105 one gwarantowa\u0107, \u017ce certyfikaty SSL s\u0105 wydawane wy\u0142\u0105cznie rzeczywistym w\u0142a\u015bcicielom domen. W szczeg\u00f3lno\u015bci do ochrony przed atakami DNS stosowany jest zestaw rozszerze\u0144 DNSSEC<\/a><\/noindex>, a dla ochrony przed DoS standard ogranicza szybko\u015b\u0107 wykonywania poszczeg\u00f3lnych \u017c\u0105da\u0144 \u2014 na przyk\u0142ad HTTP dla metody POST<\/a><\/noindex>Sami deweloperzy ACME zaleca si\u0119<\/a><\/noindex> zalecaj\u0105 w celu zwi\u0119kszenia bezpiecze\u0144stwa dodawanie entropii do zapyta\u0144 DNS i wykonywanie ich z kilku punkt\u00f3w sieci.<\/p>\n

Podobne rozwi\u0105zania<\/h2>\n

\nDo uzyskiwania certyfikat\u00f3w stosuje si\u0119 r\u00f3wnie\u017c protoko\u0142y SCEP<\/a><\/noindex> i EST<\/a><\/noindex>.<\/p>\n

Pierwszy z nich zosta\u0142 opracowany w Cisco Systems. Jego celem by\u0142o uproszczenie procedury wydawania certyfikat\u00f3w cyfrowych X.509 i zapewnienie jej maksymalnej skalowalno\u015bci. Przed pojawieniem si\u0119 SCEP proces ten wymaga\u0142 aktywnego udzia\u0142u administrator\u00f3w system\u00f3w i s\u0142abo si\u0119 skalowa\u0142. Dzi\u015b protok\u00f3\u0142 ten jest jednym z najpowszechniej stosowanych.<\/p>\n

Je\u015bli chodzi o EST, umo\u017cliwia on klientom PKI uzyskiwanie certyfikat\u00f3w przez bezpieczne kana\u0142y. Wykorzystuje TLS do przesy\u0142ania komunikat\u00f3w i wydawania SSL, a tak\u017ce do powi\u0105zania CSR z nadawc\u0105. Ponadto EST obs\u0142uguje metody kryptografii eliptycznej, co tworzy dodatkow\u0105 warstw\u0119 ochrony.<\/p>\n

Wed\u0142ug zdaniem ekspert\u00f3w<\/a><\/noindex>, rozwi\u0105zania takie jak ACME powinny zyska\u0107 szersze zastosowanie. Oferuj\u0105 uproszczony i bezpieczny model konfiguracji SSL, a tak\u017ce przyspieszaj\u0105 ca\u0142y proces.<\/p>\n

Dodatkowe wpisy z naszego bloga firmowego:<\/h5>\n

<\/p>\n