Форум CA/Browser, платформа за заједничко доношење одлука која се бави интересима добављача прегледача и сертификационих тела, одобрила је нове захтеве за организације које издају HTTPS сертификате. Нови захтеви укидају 11 метода за проверу власништва над доменом за који је сертификат издат. Подршка за ове укинуте методе биће постепено укинута до марта 2028. године. Наведени разлог за укидање подршке је фокусирање на аутоматизоване и криптографски проверљиве методе верификације.
Методе везане за коришћење WHOIS информација, потврђивање контакт информација путем имејла, телефонских позива, факса, СМС-а или папирних писама и верификација заснована на провери власништва над IP адресом регистрованом за домен у DNS-у су застареле. Очекује се да ће прекид подршке за ове методе верификације елиминисати рупе у закону које би потенцијално могле омогућити нападачима приступ. сертификат за домен, које они не контролишу. На пример, пре годину дана је показано да је могуће добити TLS сертификате за друге домене у зони „.mobi“ преузимањем застареле WHOIS услуге регистрара домена.
Листа метода за верификацију власништва над доменом које су застареле:
- Слање имејла, факса, СМС-а или папирног писма на контакт информације наведене за домен у WHOIS бази података или у SOA запису у DNS-у.
- Слање имејла, факса, СМС-а или папирног писма на контакт информације наведене за повезани домен ИП адресе.
- Слање верификационог кода на стандардне имејл адресе као што су admin@, administrator@, webmaster@, hostmaster@ и postmaster@.
- Слање верификационог кода на имејл адресу наведену у CAA запису домена у DNS-у.
- Слање верификационог кода на имејл адресу наведену у TXT запису домена у DNS-у.
- Потврда телефонским позивом на број наведен као контакт број за домен.
- Потврда телефонским позивом на број наведен у TXT запису домена у DNS-у.
- Потврда телефонским позивом на број наведен у CAA запису домена у DNS-у.
- Потврда телефонским позивом на број наведен као контакт број за ИП адресу на коју је домен повезан.
- Провере засноване на потврди власништва над ИП адресом регистрованом за домен у DNS-у.
- Провере засноване на обрнутој резолуцији ИП адресе.
Извор: опеннет.ру
