A Associação CA/Browser Forum, que atua como um fórum para a tomada de decisões em conjunto considerando os interesses dos fabricantes de navegadores e das autoridades certificadoras, aprovou novos requisitos para as organizações que emitem certificados para HTTPS. Os novos requisitos declararam obsoletos 11 métodos de verificação de propriedade do domínio para o qual o certificado é emitido. A descontinuação do suporte aos métodos obsoletos será feita gradualmente até março de 2028. As razões para a descontinuação do suporte incluem a concentração da atenção em métodos de verificação automaticamente executáveis e criptograficamente verificáveis.
Os métodos obsoletos incluem aqueles que utilizam informações do serviço WHOIS, a confirmação de dados de contato por meio de email, chamadas telefônicas, fax, SMS ou cartas, bem como a verificação baseada na verificação da propriedade de um endereço IP, anotado para o domínio no DNS. Acredita-se que a descontinuação do suporte a esses métodos de verificação permitirá eliminar brechas que poderiam potencialmente permitir que atacantes obtivessem um certificado para o domínio, que eles não controlam. Por exemplo, há um ano foi demonstrada a possibilidade de obter certificados TLS para domínios estranhos na zona '.mobi' por meio da captura do serviço WHOIS obsoleto do registrador dessa zona de domínio.
Lista de métodos de verificação de propriedade de domínio declarados obsoletos:
- Envio de Email, fax, SMS ou carta de papel para os dados de contato listados para o domínio no banco de dados WHOIS ou no registro SOA no DNS.
- Envio de Email, fax, SMS ou carta de papel para os dados de contato listados para o domínio relacionado endereços IP.
- Envio de um código de verificação para emails padrão, como admin@, administrator@, webmaster@, hostmaster@ e postmaster@.
- Envio de um código de verificação para o email listado no registro CAA do domínio no DNS.
- Envio de um código de verificação para o email listado no registro TXT do domínio no DNS.
- Confirmação por chamada telefônica para o número listado como contato para o domínio.
- Confirmação por chamada telefônica para o número listado no registro TXT do domínio no DNS.
- Confirmação por chamada telefônica para o número listado no registro CAA do domínio no DNS.
- Confirmação por chamada telefônica para o número listado como contato para o endereço IP ao qual o domínio está vinculado.
- Verificações baseadas na confirmação de propriedade do endereço IP registrado para o domínio no DNS.
- Verificações baseadas na resolução reversa do endereço IP.
Fonte: opennet.ru
