  |
Za poslednú hodinu: 9 meraní | ||||
|
inzercia |
|||||
 
neprihlásený 
| Piatok, 22. novembra 2024, dnes má meniny Cecília |
|
Mnohé weby budú od stredy kontroverzne označené za nedôveryhodné
Certifikačná autorita Let's Encrypt oznámila uskutočnenie pomerne kontroverzného kroku, keď kvôli problému pri vydávaní certifikátov zneplatní veľký počet certifikátov. Problém nie je výrazný, zrejme neprišlo k masovému ohrozeniu bezpečnosti a masovému kompromitovaniu vydávania certifikátov. Vzniká tak otázka či tento krok nie je minimálne v takomto časovom harmonograme a vzhľadom na dopady prehnaný, keď ho prevádzkovateľ oznámil vo svojom diskusnom fóre necelý deň pred naznačovaným štartom zneplatňovania. web
Celkovo je tak otázne či tento krok nie je minimálne v avizovanom časovom harmonograme a vzhľadom na dopady prehnaný. ProblémLet's Encrypt je certifikačnou autoritou vydávajúcou SSL / TLS certifikáty, za ktorou stoja niektoré významné IT a internetové spoločnosti. Jej cieľom je masový prechod webu na zabezpečené HTTPS stránky, ktoré sú pri prenose šifrované protokolom SSL.To dosahuje vydávaním bezplatných certifikátov automatizovaným spôsobom, pričom k dispozícii sú automatizované softvérové nástroje pre získanie certifikátu. Držanie domény potvrdzuje majiteľ buď cez DNS alebo cez web. Pri vydávaní certifikátov overuje Let's Encrypt aj prípadný DNS záznam podľa štandardu Certification Authority Authorization, CAA, ktorým môžu držitelia domén cez DNS obmedziť certifikačné autority oprávnené vydávať pre danú doménu certifikáty. K problému prišlo práve pri overovaní CAA za istých okolností. Podľa vlastných podmienok Let's Encrypt považuje informácie o záznamoch CAA platné po dobu osem hodín alebo v prípade existujúceho záznamu s dlhším TTL po dobu jeho TTL. Štandardne pri vydávaní certifikátu Let's Encrypt kontroluje držanie domény aj CAA záznam a následne vydáva certifikát. Preukázanie držania domény považuje za platné až po dobu 30 dní. Ak si tak užívateľ nechá vydať ďalší nový certifikát, ktorý má platnosť 90 dní, do 30 dní, nemusí držanie domény znovu overovať. Ak je to po viac ako ôsmich hodinách, je potrebné ale znovu overiť CAA záznamy. Toto opakované overovanie systém Let's Encrypt uskutočňuje, podľa popisu sa v ňom ale nachádzala chyba pri certifikátoch s viacerými doménami. Pri nich bol opakovane skontrolovaný CAA záznam len pre jednu z nich. V takomto scenári tak neboli CAA záznamy pre všetky domény v novom vydávanom certifikáte skontrolované najviac osem hodín pred vydaním certifikátu, ako to určujú podmienky Let's Encrypt. Organizácia na problém prišla podľa oznámenia v sobotu. Problém bol prítomný od 25. júla 2019 a z momentálne platných certifikátov neboli podmienky dodržané u viac ako 3 miliónov certifikátov. Problém sa dotýkal najviac často obnovovaných certifikátov a milión z nich je vydaných pre rovnakú doménu ako iný certifikát z tejto skupiny. RiešeniePopísaný problém automaticky neznamená ohrozenie bezpečnosti a masové kompromitovanie vydávania certifikátov, žiadatelia o certifikáty stále museli preukázať držanie domény. Informácie Let's Encrypt vôbec nepopisujú či a ako prišlo k ohrozeniu bezpečnosti.K potenciálnemu ohrozeniu bezpečnosti mohlo potenciálne prísť zrejme v pomerne špecifických scenároch, kde záznamy CAA reálne pridávajú navyše oproti spôsobu overovania držania domény bezpečnosť. Či to u niektorých domén nastalo alebo prípadne reálne prišlo k neautorizovanému vydaniu certifikátu nie je jasné, podľa dostupných informácií záznamy CAA využíva len malá časť domén. Let's Encrypt sa napriek tomu rozhodla všetky certifikáty, pri vydaní ktorých nebolo dodržané skontrolovanie CAA záznamov najviac osem hodín pred vydaním certifikátu, zneplatniť. Užívateľov o tom podľa dostupných informácií informovala emailom, zadanie emailu pri vydávaní certifikátu ale nie je povinné. V priebehu utorka krok oznámila na svojom diskusnom fóre, na hlavnej webovej stránke o incidente neinformuje. Niektorí užívatelia podľa informácií v diskusii emaily evidentne dostávajú len hodiny pred avizovaným termínom zneplatňovania. Let's Encrypt neavizuje jeden konkrétny čas kedy všetky predmetné certifikáty zneplatní a v oznámení hovorí, že zatiaľ plne nestanovila čas začiatku zneplatňovania. Zároveň ale hovorí o 4. marci a uvádza aj konkrétny čas, keď hovorí že so zneplatňovaním nezačne skôr ako 4. marca o 0:00 UTC, teda 1:00 nášho času. Aktualizácia 1: Let's Encrypt aktualizovala svoje oznámenie a uvádza nový konkrétny čas, kedy začne so zneplatňovaním certifikátov. Stane sa tak 4. marca o 21:00 nášho času. Aktualizácia 2: V noci na 5. marca nakoniec Let's Encrypt oznámila zrušenie svojho plánu masového zneplatnenia všetkých certifikátov, pri vydaní ktorých neboli plne dodržané pravidlá. Okrem certifikátov, ktoré už boli vymenené, zneplatnila len 445 certifikátov s doménami, ktoré mali v čase zistenia problému nastavený CAA záznam nedovoľujúci vydanie certifikátu certifikačnou autoritou Let's Encrypt. Informujeme o tom v tomto článku. DopadyRiešením pre administrátorov webov je samozrejme nechať si vygenerovať a nasadiť nový certifikát predtým, ako bude aktuálny zneplatnený.Časť administrátorov je ale o kroku evidentne informovaná pomerne neskoro a časť nebude priamo informovaná vôbec, navyše Let's Encrypt evidentne podcenila aj informovanosť na webovej stránke a cez médiá. Ak zostane na danom webe zneplatnený certifikát, moderné webové prehliadače v štandardnom nastavení pri návšteve daného webu budú upozorňovať návštevníka na neplatný certifikát. Keďže takýto mechanizmus sa používa aj pri skutočne kompromitovaných certifikátoch, upozornenie je podľa dostupných informácií minimálne v najpopulárnejších prehliadačoch zrejme veľmi výrazné, stránka nie je štandardne vôbec zobrazená a užívateľovi sa namiesto nej zobrazuje upozornenie na zneplatnený certifikát. 
Najnovšie články: Diskusia:
Pridať komentár | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
