Let's Encrypt har övergått till verifiering med olika subnet.

Icke-vinstdrivande certifikatutfärdande centrum Let's Encrypt, kontrollerat av gemenskapen och erbjuder certifikat utan kostnad till alla intresserade, meddelade om implementeringen av ett nytt system för auktorisation av certifikat för domänen. Åtkomst till servern där den använda kontrollkatalogen «/.well-known/acme-challenge/» finns, kommer nu att ske via flera HTTP-förfrågningar som skickas från 4 olika IP-adresser, placerade i olika datacenter och tillhörande olika autonoma system. Kontroll anses framgångsrik endast om minst 3 av 4 förfrågningar från olika IP har varit framgångsrika.

Kontroll från flera undernät kommer att minimera riskerna för att erhålla certifikat för andra domäner genom riktade attacker som omdirigerar trafik via simulering av falska rutter genom BGP. Med ett multipositioneringssystem för kontroll kommer angriparen att behöva omdirigera rutter för flera autonoma system av leverantörer med olika uplinks samtidigt, vilket är betydligt mer komplicerat än att omdirigera en enskild rutt. Att skicka förfrågningar från olika IP ökar dessutom tillförlitligheten av kontrollen om enstaka värdar från Let’s Encrypt hamnar på svartlistor (till exempel har vissa IP-adresser från letsencrypt.org blivit blockerade av Roskomnadzor i Ryssland).

Till den 1 juni kommer det att finnas en övergångsperiod som tillåter generering av certifikat vid framgångsrik kontroll från det primära datacentret, om värden från andra undernät är otillgängliga (till exempel kan detta inträffa om värdadministratören på brandväggen tillåter förfrågningar endast från det primära datacentret för Let’s Encrypt eller på grund av avbrott i zonernas synkronisering i DNS). Baserat på loggar kommer en vit lista att förberedas för domäner som har problem med kontroll från 3 ytterligare datacenter. Endast domäner med ifyllda kontaktuppgifter kommer att hamna på den vita listan. Om domänen inte automatiskt hamnar på den vita listan kan en begäran om att inkludera den också skickas via ett särskilt formulär.

För närvarande har projektet Let’s Encrypt utfärdat 113 miljoner certifikat som täcker cirka 190 miljoner domäner (för ett år sedan täcktes 150 miljoner domäner, och för två år sedan – 61 miljoner). Enligt statistik från Firefox Telemetry utgör den globala andelen sidor som begärs via HTTPS 81% (för ett år sedan 77%, för två år sedan 69%), medan den i USA är 91%.

Det är också värt att notera, avsikt Apple
att avsluta förtroendet för certifikat i webbläsaren Safari vars livslängd överstiger 398 dagar (13 månader). Begränsningen planeras att införas endast för certifikat utfärdade från och med 1 september 2020. För certifikat som utfärdades före 1 september kommer förtroendet att behållas men begränsas till 825 dagar (2,2 år).

Ändringen kan negativt påverka verksamheten hos certifikatutfärdare som säljer billiga certifikat med lång livslängd, upp till 5 år. Enligt Apple skapar genereringen av sådana certifikat ytterligare säkerhetshot, hindrar snabb implementering av nya kryptostandarder och möjliggör för angripare att långvarigt kontrollera offrets trafik eller använda det för phishing vid en osynlig läcka av certifikatet till följd av en hackning.

Källa: opennet.ru