Neziskový certifikačný orgán , kontrolované komunitou a poskytujúce certifikáty bezplatne každému, kto o ne má záujem, Pokiaľ ide o implementáciu novej schémy na overovanie oprávnenia na získanie certifikátu domény. Prístup k serveru, na ktorom sa nachádza adresár „/.well-known/acme-challenge/“ používaný na overenie, sa teraz bude vykonávať pomocou viacerých HTTP požiadaviek odoslaných zo štyroch rôznych IP adries nachádzajúcich sa v rôznych dátových centrách a patriacich do rôznych autonómnych systémov. Overenie sa považuje za úspešné iba vtedy, ak sú úspešné aspoň tri zo štyroch požiadaviek z rôznych IP adries.
Overovanie z viacerých podsietí minimalizuje riziko získania certifikátov pre iné domény vykonávaním cielených útokov, ktoré presmerujú prevádzku cez falošné trasy pomocou BGP. Pri použití viacbodového overovacieho systému by útočník musel súčasne presmerovať trasy pre viacero autonómnych systémov poskytovateľov s rôznymi uplinkmi, čo je výrazne zložitejšie ako presmerovanie jednej trasy. Odosielanie požiadaviek z rôznych IP adries tiež zvýši spoľahlivosť overovania v prípade, že jednotlivé hostiteľské systémy Let's Encrypt sú na čiernej listine (napríklad v Rusku Roskomnadzor zablokoval niektoré IP adresy letsencrypt.org).
Do 1. júna bude platiť prechodné obdobie, ktoré umožní generovanie certifikátov po úspešnom overení z primárneho dátového centra alebo ak hostiteľ nie je dostupný z iných podsietí (napríklad, toto sa môže stať, ak správca hostiteľa povolil na firewalle iba požiadavky z primárneho dátového centra Let's Encrypt alebo kvôli problému so synchronizáciou zóny DNS). Na základe protokolov sa vytvorí biely zoznam pre domény, ktoré majú problémy s overením z troch ďalších dátových centier. Na bielu listinu budú pridané iba domény s vyplnenými kontaktnými informáciami. Ak doména nie je automaticky pridaná na bielu listinu, žiadosť o umiestnenie je možné odoslať aj prostredníctvom .
Projekt Let's Encrypt v súčasnosti vydal 113 miliónov certifikátov, ktoré pokrývajú približne 190 miliónov domén (nárast oproti 150 miliónom v minulom roku a 61 miliónom pred dvoma rokmi). Podľa Firefox Telemetry je globálny podiel požiadaviek na stránky HTTPS 81 % (77 % v minulom roku a 69 % pred dvoma rokmi) a v USA 91 %.
Okrem toho je možné poznamenať Spoločnosť Apple
Prestaňte dôverovať certifikátom s životnosťou presahujúcou 398 dní (13 mesiacov) v prehliadači Safari. Toto obmedzenie sa má vzťahovať iba na certifikáty vydané po 1. septembri 2020. V prípade dlhodobých certifikátov vydaných pred 1. septembrom bude dôvera zachovaná, ale obmedzená na 825 dní (2.2 roka).
Táto zmena by mohla negatívne ovplyvniť podnikanie certifikačných autorít, ktoré predávajú lacné certifikáty s dlhou dobou platnosti až päť rokov. Podľa spoločnosti Apple vytváranie takýchto certifikátov ďalšie bezpečnostné hrozby, bráni rýchlej implementácii nových kryptografických štandardov a umožňuje útočníkom monitorovať prevádzku obete dlhší čas alebo ju použiť na phishing, ak certifikát nie je odhalený a unikne v dôsledku hackerského útoku.
Zdroj: opennet.ru
