Autoridade certificadora sem fins lucrativos , gerida pela comunidade e oferecendo certificados gratuitamente a todos os interessados, a implementação de um novo esquema de validação de autoridade para obter certificados para domínios. Agora, a consulta ao servidor que hospeda o catálogo utilizado para verificação «/.well-known/acme-challenge/» será feita usando várias solicitações HTTP, enviadas de 4 endereços IP diferentes, localizados em diferentes data centers e pertencentes a diferentes sistemas autônomos. A verificação é considerada bem-sucedida somente se pelo menos 3 das 4 solicitações de endereços IP diferentes foram bem-sucedidas.
A verificação a partir de várias sub-redes permitirá minimizar os riscos de obtenção de certificados para domínios alheios através de ataques direcionados, redirecionando o tráfego por meio da substituição de rotas fraudadas usando BGP. Ao usar um sistema de verificação multi-localização, um atacante precisaria redirecionar simultaneamente as rotas para vários sistemas autônomos de provedores com diferentes uplinks, o que é significativamente mais difícil do que redirecionar uma única rota. O envio de solicitações de diferentes IPs, além disso, aumentará a confiabilidade da verificação caso alguns hosts do Let's Encrypt sejam listados em bloqueios (por exemplo, na Rússia, alguns IPs do letsencrypt.org foram bloqueados pelo Roskomnadzor).
Até 1 de junho, haverá um período de transição que permitirá a geração de certificados com a validação bem-sucedida a partir do data center primário, caso o host dos demais sub-redes esteja indisponível (por exemplo, isso pode acontecer se o administrador do host permitiu solicitações apenas do data center principal do Let's Encrypt ou devido a problemas de sincronização de zonas no DNS). Com base nos logs, será preparado uma lista branca para domínios que apresentam problemas de validação a partir de 3 data centers adicionais. Apenas domínios com dados de contato preenchidos serão incluídos na lista branca. Se o domínio não for incluído automaticamente na lista branca, um pedido para inclusão também pode ser enviado através de .
Atualmente, o projeto Let’s Encrypt emitiu 113 milhões de certificados, abrangendo cerca de 190 milhões de domínios (há um ano, estavam cobertos 150 milhões de domínios, e dois anos atrás — 61 milhões). Segundo as estatísticas do serviço Firefox Telemetry, a participação mundial de solicitações de páginas via HTTPS é de 81% (há um ano era 77%, e dois anos atrás 69%), enquanto nos EUA — 91%.
Além disso, pode-se notar, da Apple
de deixar de confiar em certificados no navegador Safari que tenham um tempo de vida superior a 398 dias (13 meses). A limitação será aplicada apenas a certificados emitidos a partir de 1º de setembro de 2020. Para aqueles obtidos antes de 1º de setembro, a confiança será mantida, mas limitada a 825 dias (2,2 anos).
A mudança pode impactar negativamente os negócios dos centros de certificação que vendem certificados baratos com longos períodos de validade, que chegam a 5 anos. Segundo a Apple, a geração de tais certificados cria ameaças de segurança adicionais, dificulta a implementação oportuna de novos padrões criptográficos e permite que os invasores mantenham o controle do tráfego da vítima por longos períodos ou os utilizem para phishing em caso de vazamento sutil do certificado devido a uma violação.
Fonte: opennet.ru
