{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"IETF aprovou o ACME \u2014 um padr\u00e3o para trabalhar com certificados SSL.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

IETF aprovou especifica\u00e7\u00e3o<\/a><\/noindex> O Ambiente de Gerenciamento Autom\u00e1tico de Certificados (ACME), que ajudar\u00e1 a automatizar a obten\u00e7\u00e3o de certificados SSL. Vamos explicar como isso funciona.<\/p>\n

\"IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Por que foi necess\u00e1rio o padr\u00e3o<\/h2>\n

\nEm m\u00e9dia, a configura\u00e7\u00e3o certificado SSL<\/a><\/noindex> para um dom\u00ednio pode levar de uma a tr\u00eas horas. Se um erro acontecer, ser\u00e1 preciso esperar at\u00e9 que a solicita\u00e7\u00e3o seja rejeitada, e s\u00f3 ent\u00e3o ela poder\u00e1 ser reenviada. Tudo isso dificulta a implementa\u00e7\u00e3o de sistemas em larga escala.<\/p>\n

O procedimento de valida\u00e7\u00e3o de dom\u00ednio pode variar de acordo com cada autoridade certificadora. A aus\u00eancia de padroniza\u00e7\u00e3o \u00e0s vezes leva a problemas de seguran\u00e7a. \u00c9 conhecido um caso<\/a><\/noindex>, onde devido a um bug no sistema, uma CA verificou todos os dom\u00ednios solicitados. Nessas situa\u00e7\u00f5es, certificados SSL podem ser emitidos para recursos fraudulentos.<\/p>\n

O protocolo ACME aprovado pela IETF (especifica\u00e7\u00e3o RFC8555<\/a><\/noindex>) deve automatizar e padronizar o processo de obten\u00e7\u00e3o de certificados. Al\u00e9m disso, a elimina\u00e7\u00e3o do fator humano ajudar\u00e1 a aumentar a confiabilidade e a seguran\u00e7a da verifica\u00e7\u00e3o do nome do dom\u00ednio.<\/p>\n

O padr\u00e3o \u00e9 aberto e qualquer um pode contribuir para seu desenvolvimento. No reposit\u00f3rio no GitHub<\/a><\/noindex> foram publicadas as instru\u00e7\u00f5es correspondentes.<\/p>\n

Como funciona<\/h2>\n

\nA troca de requisi\u00e7\u00f5es no ACME ocorre por meio de HTTPS utilizando mensagens JSON. Para trabalhar com o protocolo, \u00e9 necess\u00e1rio instalar um cliente ACME no n\u00f3 de destino, que gerar\u00e1 um par de chaves \u00fanico ao primeiro acesso \u00e0 CA. Posteriormente, essas chaves ser\u00e3o usadas para assinar todas as mensagens entre cliente e servidor.<\/p>\n

A primeira mensagem cont\u00e9m informa\u00e7\u00f5es de contato sobre o propriet\u00e1rio do dom\u00ednio. Ela \u00e9 assinada com a chave privada e, junto com a chave p\u00fablica, \u00e9 enviada ao servidor. Ele verifica a autenticidade da assinatura e, se tudo estiver correto, inicia o processo de emiss\u00e3o do certificado SSL.<\/p>\n

Para obter o certificado, o cliente deve provar ao servidor que \u00e9 o propriet\u00e1rio do dom\u00ednio. Para isso, realiza certas a\u00e7\u00f5es dispon\u00edveis apenas ao propriet\u00e1rio. Por exemplo, a autoridade certificadora pode gerar um token \u00fanico e solicitar que o cliente o coloque no site. Em seguida, a CA forma uma solicita\u00e7\u00e3o web ou DNS para extrair a chave desse token.<\/p>\n

Por exemplo, no caso de HTTP, a chave do token deve ser colocada em um arquivo que ser\u00e1 servido pelo servidor web. Durante a verifica\u00e7\u00e3o DNS, a autoridade certificadora buscar\u00e1 a chave \u00fanica no documento de texto do registro DNS. Se tudo estiver em ordem, o servidor confirma que o cliente passou na valida\u00e7\u00e3o e a CA emite o certificado.<\/p>\n

\"IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

Opini\u00f5es<\/h2>\n

\nDe acordo com palavras<\/a><\/noindex> IETF, ACME ser\u00e1 \u00fatil para administradores que precisam trabalhar com v\u00e1rios nomes de dom\u00ednio. O padr\u00e3o ajudar\u00e1 a vincular cada um deles ao SSL necess\u00e1rio.<\/p>\n

Entre os m\u00e9ritos do padr\u00e3o, os especialistas tamb\u00e9m destacam v\u00e1rios mecanismos de seguran\u00e7a<\/a><\/noindex>. Eles devem garantir que os certificados SSL sejam emitidos apenas para os verdadeiros propriet\u00e1rios dos dom\u00ednios. Em particular, um conjunto de extens\u00f5es \u00e9 usado para proteger contra ataques DNS, DNSSEC<\/a><\/noindex>e para prote\u00e7\u00e3o contra DoS, o padr\u00e3o limita a taxa de execu\u00e7\u00e3o de determinadas requisi\u00e7\u00f5es - por exemplo, HTTP para o m\u00e9todo POST<\/a><\/noindex>. Os pr\u00f3prios desenvolvedores do ACME recomendam<\/a><\/noindex> para aumentar a seguran\u00e7a, adicionam entropia \u00e0s requisi\u00e7\u00f5es DNS e as executam a partir de v\u00e1rios pontos da rede.<\/p>\n

Solu\u00e7\u00f5es semelhantes<\/h2>\n

\nPara a obten\u00e7\u00e3o de certificados, tamb\u00e9m s\u00e3o utilizados os protocolos SCEP<\/a><\/noindex> e EST<\/a><\/noindex>.<\/p>\n

O primeiro foi desenvolvido na Cisco Systems. Seu objetivo era simplificar o processo de emiss\u00e3o de certificados digitais X.509 e torn\u00e1-lo o mais escal\u00e1vel poss\u00edvel. Antes da chegada do SCEP, esse processo exigia participa\u00e7\u00e3o ativa dos administradores e n\u00e3o escalava bem. Hoje, este protocolo \u00e9 um dos mais utilizados.<\/p>\n

Quanto ao EST, ele permite que clientes PKI obtenham certificados por canais seguros. Ele aplica TLS para transmiss\u00e3o de mensagens e emiss\u00e3o de SSL, al\u00e9m de vincular CSR ao remetente. Al\u00e9m disso, o EST suporta m\u00e9todos de criptografia el\u00edptica, criando um n\u00edvel adicional de prote\u00e7\u00e3o.<\/p>\n

De acordo com na opini\u00e3o dos especialistas<\/a><\/noindex>, solu\u00e7\u00f5es como ACME dever\u00e3o se tornar mais amplamente adotadas. Elas oferecem um modelo simplificado e seguro para a configura\u00e7\u00e3o do SSL, al\u00e9m de acelerar o processo.<\/p>\n

Postagens adicionais do nosso blog corporativo:<\/h5>\n

<\/p>\n