, e anunciaram em conjunto uma nova extensão TLS (DC), que resolve o problema com certificados ao organizar o acesso ao site através de redes de entrega de conteúdo. Os certificados emitidos pelas autoridades certificadoras têm um longo período de validade, o que dificulta a organização do acesso ao site através de um serviço externo, que deve estabelecer uma conexão segura em nome do site, uma vez que a transmissão do certificado do site para o serviço externo cria ameaças adicionais à segurança.
A nova extensão também pode ser útil para sites cuja operação é garantida por uma grande infraestrutura distribuída com muitos balanceadores de carga. As Credenciais Delegadas permitirão evitar o armazenamento de cópias das chaves privadas dos certificados principais em cada nó de entrega de conteúdo. No método clássico, um ataque bem-sucedido a qualquer um dos servidores envolvidos na entrega do tráfego HTTPS comprometerá todo o certificado. Na transferência de chaves privadas para redes de entrega de conteúdo, surgem ameaças de vazamento de dados devido a ações de pessoal, atividades de serviços secretos ou comprometimento da infraestrutura de CDN.
Se o vazamento de chaves passar despercebido, aqueles que tiveram acesso às chaves poderão se infiltrar invisivelmente no tráfego do site (MITM) por um período considerável, uma vez que os prazos de validade dos certificados são contados em meses e anos. Na Cloudflare, para proteger as chaves dos certificados podem ser servidores especiais de chaves, operando do lado do proprietário do site, mas operar nesse modo resulta em atrasos significativos na entrega do tráfego, reduz a confiabilidade devido à adição de um elo extra e requer a implementação de uma infraestrutura complexa.
A extensão TLS proposta, Credenciais Delegadas, introduz uma chave privada intermediária adicional, cujo tempo de atividade é limitado a horas ou dias (não mais que 7 dias). Esta chave é gerada com base no certificado emitido pela autoridade certificadora e permite manter a chave privada do certificado original em segredo dos serviços de entrega de conteúdo, fornecendo apenas um certificado temporário com um curto tempo de vida.
Para evitar problemas de acesso após o vencimento da chave intermediária, foi prevista uma tecnologia de atualização automática, realizada do lado do servidor TLS de origem. Não são necessárias operações manuais ou a execução de scripts para a geração — o servidor autorizado, que requer a chave privada, deve contatar o servidor TLS de origem do site antes que a vida útil da chave anterior expire, e ele gera uma nova chave intermediária para um curto intervalo de tempo.
Browsers que suportam a extensão TLS de Delegated Credentials perceberão esses certificados derivados como confiáveis. Por exemplo, o suporte para essa extensão já foi adicionado nas compilações noturnas e versões beta do Firefox e pode ser ativado em about:config alterando a configuração 'security.tls.enable_delegated_credentials'. Em meados de novembro, também está planejado um experimento entre um certo percentual de usuários das versões beta do Firefox.No qual, para verificar a qualidade da implementação da nova extensão TLS, será enviado um pedido de teste ao servidor DC da Cloudflare. O suporte a Delegated Credentials também já está incorporado na biblioteca com implementação do TLS 1.3.
A especificação de Delegated Credentials foi entregue ao comitê IETF (Internet Engineering Task Force), que é responsável pelo desenvolvimento de protocolos e arquitetura da Internet, e está em fase de reivindicação como padrão da internet. A extensão de Delegated Credentials pode ser aplicada apenas com TLSv1.3.
Para gerar chaves intermediárias, é necessário obter um certificado TLS que inclua uma extensão especial X.509, que atualmente é suportada apenas pela autoridade certificadora DigiCert.
Fonte: opennet.ru
