Asociácia CA/Browser Forum, ktorá slúži ako platforma pre spoločné prijímanie rozhodnutí zohľadňujúc záujmy výrobcov prehliadačov a certifikačných autorít, schválila nové požiadavky pre organizácie, ktoré vydávajú certifikáty pre HTTPS. V nových požiadavkách boli vyhlásené za zastarané 11 metód overovania vlastníctva domény, pre ktorú sa vydáva certifikát. Zastavenie podpory zastaraných metód bude prebiehať postupne do marca 2028. Ako dôvod zastavenia podpory sa uvádza zameranie pozornosti na automatizované a kryptograficky overiteľné metódy overovania.
Zastaranými boli vyhlásené metódy spojené s použitím informácií zo služby WHOIS, potvrdením kontaktných údajov prostredníctvom emailu, telefonických hovorov, faxov, SMS alebo papierových listov, ako aj verifikáciou na základe overovania vlastníctva IP adresy, zapísanej pre doménu v DNS. Predpokladá sa, že zastavenie podpory uvedených metód overovania umožní zbaviť sa obchádzok, ktoré potenciálne umožnili útočníkom získať certifikát pre doménu, ktorú nekontrolujú. Napríklad pred rokom bola demonštrovaná možnosť získania TLS certifikátov pre cudzích domén v zóne „.mobi“ prostredníctvom prebratia zastaraného WHOIS servisu registrátora tejto doménovej zóny.
Zoznam metód potvrdenia vlastníctva domény, ktoré boli vyhlásené za zastarané:
- Zaslanie emailu, faxu, SMS alebo papierového listu na kontaktné údaje uvedené pre doménu v databáze WHOIS alebo v SOA zázname v DNS.
- Zaslanie emailu, faxu, SMS alebo papierového listu na kontaktné údaje uvedené pre doménu IP adresy.
- Zaslanie overovacieho kódu na typové emaily, ako sú admin@, administrator@, webmaster@, hostmaster@ a postmaster@.
- Zaslanie overovacieho kódu na email uvedený v CAA zázname domény v DNS.
- Zaslanie overovacieho kódu na email uvedený v TXT zázname domény v DNS.
- Potvrdenie telefonickým hovorom na číslo uvedené ako kontakt pre doménu.
- Potvrdenie telefonickým hovorom na číslo uvedené v TXT zázname domény v DNS.
- Potvrdenie telefonickým hovorom na číslo uvedené v CAA zázname domény v DNS.
- Potvrdenie telefonickým hovorom na číslo uvedené ako kontaktné pre IP adresu, ku ktorej je doména priradená.
- Overenie na základe potvrdenia vlastníctva IP adresy uvedenej pre doménu v DNS.
- Overenie na základe spätného rozlíšenia IP adresy.
Zdroj: opennet.ru
