, och tillsammans tillkÀnnagav en ny TLS-förlÀngning (DC), vilket löser problemet med certifikat nÀr man organiserar Ätkomst till webbplatsen via innehÄllsdistributionsnÀtverk. De certifikat som utfÀrdas av certifieringsmyndigheter har lÄng giltighet, vilket skapar svÄrigheter nÀr det Àr nödvÀndigt att organisera Ätkomst till webbplatsen via en tredjepartstjÀnst, vilket krÀver upprÀttande av en sÀker anslutning, eftersom överföringen av webbplatsens certifikat till den externa tjÀnsten skapar ytterligare sÀkerhetshot.
Den nya förlÀngningen kan ocksÄ vara anvÀndbar för webbplatser vars verksamhet stöds av stora distribuerade infrastrukturer med mÄnga belastningsbalanserare. Delegated Credentials gör det möjligt att undvika lagring av kopior av privata nycklar för huvudcertifikat pÄ varje nod som levererar innehÄll. Vid den klassiska metoden kan en framgÄngsrik attack pÄ nÄgon av servrarna som deltar i leveransen av HTTPS-trafik leda till att hela certifikatet Àventyras. NÀr privata nycklar överförs till innehÄllsdistributionsnÀtverk uppstÄr hot om dataförlust till följd av ÄtgÀrder frÄn personal, underrÀttelsetjÀnster eller kompromettering av CDN-infrastruktur.
Om lÀckan av nycklar förblir oupptÀckt kan de som fÄtt tillgÄng till nycklarna under en lÀngre tid gÄ obemÀrkt in i webbplatsens trafik (MITM), eftersom certifikatens giltighetsperioder rÀknas i mÄnader och Är. För att skydda certifikatnycklarna hos Cloudflare kan speciella nyckelservrar anvÀndas, som arbetar pÄ webbplatsÀgarens sida, men arbete i det lÀget medför mÀrkbara fördröjningar i trafikleveransen, minskar tillförlitligheten pÄ grund av ett extra led och krÀver en komplex infrastruktur.
Den föreslagna TLS-förlÀngningen Delegated Credentials introducerar en ytterligare mellanliggande privat nyckel, vars giltighetstid Àr begrÀnsad till timmar eller nÄgra dagar (högst 7 dagar). Denna nyckel genereras baserat pÄ det certifikat som utfÀrdats av certifieringsmyndigheten och gör det möjligt att hÄlla den ursprungliga certifikatets privata nyckel hemlig för innehÄllsdistributionssituationer, och ger dem endast ett tillfÀlligt certifikat med kort livslÀngd.
För att undvika Ă„tkomstproblem efter att livstiden för en mellanliggande nyckel har löpt ut, finns det en teknik för automatisk uppdatering, som utförs pĂ„ sidan av den ursprungliga TLS-servern. För att generera nyckeln krĂ€vs inga manuella operationer eller skript â den auktoriserade servern, som behöver den privata nyckeln, kontaktar den ursprungliga TLS-servern för webbplatsen innan den tidigare nyckelns livstid har löpt ut och genererar en mellanliggande nyckel för en viss kort tidsperiod.
WebblÀsare som stöder TLS-tillÀgget Delegated Credentials kommer att uppfatta sÄdana hÀrledda certifikat som trogna. Till exempel har stödet för det angivna tillÀgget redan lagts till i nattsammanstÀllningar och beta-versioner av Firefox och kan aktiveras i about:config genom att Àndra instÀllningen "security.tls.enable_delegated_credentials". I mitten av november planeras ocksÄ ett experiment bland en viss procentandel av anvÀndarna av testversioner av Firefox, "«, vilket innebÀr att en testbegÀran skickas till DC-servern Cloudflare för att kontrollera kvaliteten pÄ implementeringen av det nya TLS-tillÀgget. Stödet för Delegated Credentials Àr ocksÄ redan inbyggt i biblioteket med implementeringen av TLS 1.3.
Specifikationen för Delegated Credentials har överlÀmnats till IETF-kommittén (Internet Engineering Task Force), som ansvarar för utveckling av protokoll och arkitektur för Internet, och Àr för nÀrvarande , som ansöker om att bli en internetstandard. TillÀgget Delegated Credentials kan endast anvÀndas med TLSv1.3.
För att generera mellanliggande nycklar krÀvs en TLS-certifikat som inkluderar ett speciellt X.509-tillÀgg, som för nÀrvarande endast stöds av certifikatutfÀrdaren DigiCert.
KĂ€lla: opennet.ru
