{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"IETF a aprobat ACME \u2014 este un standard pentru gestionarea certificatelor SSL","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

IETF a aprobat standard<\/a><\/noindex> Mediul de Management al Certificatelor Automate (ACME), care va ajuta la automatizarea ob\u021binerii certificatelor SSL. V\u0103 vom explica cum func\u021bioneaz\u0103.<\/p>\n

\"IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

De ce este necesar standardul<\/h2>\n

\n\u00cen medie, administratorul poate dedica \u00eentre una \u0219i trei ore pentru configurarea certificat SSL<\/a><\/noindex> pentru un domeniu. Dac\u0103 se produce o eroare, va trebui s\u0103 a\u0219tepte ca cererea s\u0103 fie respins\u0103, abia apoi put\u00e2nd fi ref\u0103cut\u0103. Toate acestea complic\u0103 desf\u0103\u0219urarea sistemelor de mari dimensiuni.<\/p>\n

Procedura de validare a domeniului poate varia de la un centru de certificare la altul. Lipsa standardiz\u0103rii poate duce uneori la probleme de securitate. Este cunoscut un caz<\/a><\/noindex>, c\u00e2nd din cauza unei erori \u00een sistem, un CA a verificat toate domeniile declarate. \u00cen aceste situa\u021bii, certificatele SSL pot fi eliberate resurselor frauduloase.<\/p>\n

Protocolul ACME aprobat de IETF (specifica\u021bia RFC8555<\/a><\/noindex>) ar trebui s\u0103 automatizeze \u0219i s\u0103 standardizeze procesul de ob\u021binere a certificatului. Excluderea factorului uman va ajuta la cre\u0219terea fiabilit\u0103\u021bii \u0219i securit\u0103\u021bii verific\u0103rii numelui de domeniu.<\/p>\n

Standardul este deschis, iar to\u021bi cei interesa\u021bi pot contribui la dezvoltarea sa. \u00cen repositorii pe GitHub<\/a><\/noindex> sunt publicate instruc\u021biunile corespunz\u0103toare.<\/p>\n

Cum func\u021bioneaz\u0103<\/h2>\n

\nSchimbul de cereri \u00een ACME se efectueaz\u0103 prin HTTPS folosind mesaje JSON. Pentru a lucra cu protocolul, este necesar s\u0103 instala\u021bi un client ACME pe nodul \u021bint\u0103, care genereaz\u0103 o pereche de chei unic\u0103 la prima conectare la CA. Ulterior, acestea vor fi utilizate pentru semnarea tuturor mesajelor \u00eentre client \u0219i server.<\/p>\n

Primul mesaj con\u021bine informa\u021bii de contact despre proprietarul domeniului. Acesta este semnat cu cheia privat\u0103 \u0219i, \u00eempreun\u0103 cu cheia public\u0103, este trimis serverului. Acesta verific\u0103 autenticitatea semn\u0103turii \u0219i, dac\u0103 totul este \u00een regul\u0103, \u00eencepe procedura de eliberare a certificatului SSL.<\/p>\n

Pentru a ob\u021bine certificat, clientul trebuie s\u0103 dovedeasc\u0103 serverului c\u0103 este proprietarul domeniului. Pentru aceasta, el trebuie s\u0103 efectueze anumite ac\u021biuni accesibile doar proprietarului. De exemplu, centrul de certificare poate genera un token unic \u0219i cere clientului s\u0103-l plaseze pe site. Apoi, CA formeaz\u0103 o cerere web sau DNS pentru extragerea cheii din acel token.<\/p>\n

De exemplu, \u00een cazul HTTP, cheia din token trebuie s\u0103 fie plasat\u0103 \u00eentr-un fi\u0219ier care va fi servit de serverul web. \u00cen timpul verific\u0103rii DNS, centrul de certificare va c\u0103uta cheia unic\u0103 \u00een documentul text al \u00eenregistr\u0103rii DNS. Dac\u0103 totul este \u00een regul\u0103, serverul confirm\u0103 c\u0103 clientul a trecut validarea \u0219i CA emite certificatul.<\/p>\n

\"IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

P\u0103reri<\/h2>\n

\nDup\u0103 vorbelor lor<\/a><\/noindex> IETF, ACME va fi util administratorilor care trebuie s\u0103 lucreze cu mai multe nume de domenii. Standardul va ajuta la legarea fiec\u0103rui nume de domeniu cu SSL-ul necesar.<\/p>\n

Printre avantajele standardului, exper\u021bii subliniaz\u0103 mai multe mecanisme de securitate<\/a><\/noindex>. Acestea trebuie s\u0103 garanteze c\u0103 certificatele SSL sunt emise doar proprietarilor legitimi ai domeniilor. \u00cen special, pentru a proteja \u00eempotriva atacurilor DNS, se folose\u0219te un set de extensii DNSSEC<\/a><\/noindex>, iar pentru protec\u021bia \u00eempotriva atacurilor DoS, standardul limiteaz\u0103 viteza de execu\u021bie a cererilor individuale \u2014 de exemplu, HTTP pentru metoda POST<\/a><\/noindex>. Dezvoltatorii ACME \u00een\u0219i\u0219i se recomand\u0103<\/a><\/noindex> pentru a spori securitatea, adaug\u0103 entropie la cererile DNS \u0219i le execut\u0103 din mai multe puncte ale re\u021belei.<\/p>\n

Solu\u021bii similare<\/h2>\n

\nPentru ob\u021binerea certificatelor se aplic\u0103 de asemenea protocoale SCEP<\/a><\/noindex> \u0219i EST<\/a><\/noindex>.<\/p>\n

Primul a fost dezvoltat de Cisco Systems. Scopul s\u0103u a fost de a simplifica procesul de emitere a certificatelor digitale X.509 \u0219i de a-l face c\u00e2t mai scalabil. P\u00e2n\u0103 la apari\u021bia SCEP, acest proces necesita implicarea activ\u0103 a administratorilor de sistem \u0219i se scala prost. Ast\u0103zi, acest protocol este unul dintre cele mai r\u0103sp\u00e2ndite.<\/p>\n

\u00cen ceea ce prive\u0219te EST, acesta permite clien\u021bilor PKI s\u0103 ob\u021bin\u0103 certificate prin canale securizate. Acesta folose\u0219te TLS pentru transmiterea mesajelor \u0219i emisia SSL, precum \u0219i pentru legarea CSR-ului de expeditor. \u00cen plus, EST suport\u0103 metodele criptografiei eliptice, ceea ce adaug\u0103 un nivel suplimentar de protec\u021bie.<\/p>\n

Dup\u0103 opinia exper\u021bilor<\/a><\/noindex>, solu\u021bii precum ACME ar trebui s\u0103 devin\u0103 mai r\u0103sp\u00e2ndite. Acestea ofer\u0103 un model simplificat \u0219i securizat pentru configurarea SSL-ului, precum \u0219i accelerarea procesului.<\/p>\n

Post\u0103ri suplimentare din blogul nostru corporativ:<\/h5>\n

<\/p>\n