IETF aprovou O Ambiente de Gerenciamento Automático de Certificados (ACME), que ajudará a automatizar a obtenção de certificados SSL. Vamos explicar como isso funciona.
/ Flickr / /
Por que foi necessário o padrão
Em média, a configuração para um domínio pode levar de uma a três horas. Se um erro acontecer, será preciso esperar até que a solicitação seja rejeitada, e só então ela poderá ser reenviada. Tudo isso dificulta a implementação de sistemas em larga escala.
O procedimento de validação de domínio pode variar de acordo com cada autoridade certificadora. A ausência de padronização às vezes leva a problemas de segurança. É conhecido , onde devido a um bug no sistema, uma CA verificou todos os domínios solicitados. Nessas situações, certificados SSL podem ser emitidos para recursos fraudulentos.
O protocolo ACME aprovado pela IETF (especificação ) deve automatizar e padronizar o processo de obtenção de certificados. Além disso, a eliminação do fator humano ajudará a aumentar a confiabilidade e a segurança da verificação do nome do domínio.
O padrão é aberto e qualquer um pode contribuir para seu desenvolvimento. No foram publicadas as instruções correspondentes.
Como funciona
A troca de requisições no ACME ocorre por meio de HTTPS utilizando mensagens JSON. Para trabalhar com o protocolo, é necessário instalar um cliente ACME no nó de destino, que gerará um par de chaves único ao primeiro acesso à CA. Posteriormente, essas chaves serão usadas para assinar todas as mensagens entre cliente e servidor.
A primeira mensagem contém informações de contato sobre o proprietário do domínio. Ela é assinada com a chave privada e, junto com a chave pública, é enviada ao servidor. Ele verifica a autenticidade da assinatura e, se tudo estiver correto, inicia o processo de emissão do certificado SSL.
Para obter o certificado, o cliente deve provar ao servidor que é o proprietário do domínio. Para isso, realiza certas ações disponíveis apenas ao proprietário. Por exemplo, a autoridade certificadora pode gerar um token único e solicitar que o cliente o coloque no site. Em seguida, a CA forma uma solicitação web ou DNS para extrair a chave desse token.
Por exemplo, no caso de HTTP, a chave do token deve ser colocada em um arquivo que será servido pelo servidor web. Durante a verificação DNS, a autoridade certificadora buscará a chave única no documento de texto do registro DNS. Se tudo estiver em ordem, o servidor confirma que o cliente passou na validação e a CA emite o certificado.
/ Flickr / /
Opiniões
De acordo com IETF, ACME será útil para administradores que precisam trabalhar com vários nomes de domínio. O padrão ajudará a vincular cada um deles ao SSL necessário.
Entre os méritos do padrão, os especialistas também destacam vários . Eles devem garantir que os certificados SSL sejam emitidos apenas para os verdadeiros proprietários dos domínios. Em particular, um conjunto de extensões é usado para proteger contra ataques DNS, e para proteção contra DoS, o padrão limita a taxa de execução de determinadas requisições - por exemplo, HTTP para o método . Os próprios desenvolvedores do ACME para aumentar a segurança, adicionam entropia às requisições DNS e as executam a partir de vários pontos da rede.
Soluções semelhantes
Para a obtenção de certificados, também são utilizados os protocolos e .
O primeiro foi desenvolvido na Cisco Systems. Seu objetivo era simplificar o processo de emissão de certificados digitais X.509 e torná-lo o mais escalável possível. Antes da chegada do SCEP, esse processo exigia participação ativa dos administradores e não escalava bem. Hoje, este protocolo é um dos mais utilizados.
Quanto ao EST, ele permite que clientes PKI obtenham certificados por canais seguros. Ele aplica TLS para transmissão de mensagens e emissão de SSL, além de vincular CSR ao remetente. Além disso, o EST suporta métodos de criptografia elíptica, criando um nível adicional de proteção.
De acordo com , soluções como ACME deverão se tornar mais amplamente adotadas. Elas oferecem um modelo simplificado e seguro para a configuração do SSL, além de acelerar o processo.
Postagens adicionais do nosso blog corporativo:
Fonte: habr.com
