Книги: "Создание сайтов" - "Доменные войны". Защита информации: техническое описание TLS, тестовый сервер TLS 1.3. Ресурсы: LaTeX
Инициатива Certificate Transparency
Одна из основных проблем современной инфраструктуры SSL-сертификатов в том, что удостоверяющие центры (УЦ) могут выпускать сертификаты, нарушающие принципы построения цепочки доверия в клиентском программном обеспечении. Самый распространённый пример таких сертификатов – сертификаты, выпущенные для того или иного домена без разрешения администратора этого домена.
Бороться с таким положением дел можно, кроме прочего, с помощью построения дополнительной открытой системы аудита сертификатов, назависимой от УЦ и доступной для использования каждому, кто заинтересован в дополнительной проверке полученных с сервера сертификатов. При поддержке Google развивается как раз такая система: Certificate Transparency (CT). Основные задачи, которые могут быть решены при помощи CT: затруднить выпуск SSL-сертификатов для домена, невидимый администратору этого домена; позволить администратору домена узнать, какие сертификаты для его домена были выпущены; оградить клиентское программное обеспечение от доверенного использования неправомерно выпущенных сертификатов. Решается всё при помощи ведения лога, содержащего описания сертификатов. Подробности есть на сайте.
()
Похожие записки:
- Криптографическая библиотека для Arduino: дополнение для новых IDE
- Статья Cloudflare про ECH/ESNI
- Взлом Twitter и влияние на офлайн
- Мониторинг: фитнес-браслет и смартфон
- Симметрии и дискретное логарифмирование
- Капитолийские ноутбуки
- Обновление описания TLS
- TLS 1.3 в Рунете
- DNS-over-TLS как инструмент трансляции доверия в DNSSEC
- Сервис проверки настроек веб-узлов
- Персоны и идентификаторы
- Полностью зашифрованные протоколы в Интернете
- DNS-over-TLS на авторитативных серверах DNS
- Удостоверяющие центры TLS-сертификатов Рунета
Комментарии читателей блога: 3
1. 3rd August 2013, 23:51 // Читатель jno написал:
> оградить клиентское программное обеспечение от доверенного
> использования неправомерно выпущенных сертификатов
чё-то я не вкурил этот пункт…
2. 5th August 2013, 09:15 // Александр Венедюхин ответил:
Там вот о чём речь: браузер сможет выяснить, что полученный с сервера сертификат был выпущен без ведома администратора домена, и, соответственно, не будет доверять этому сертификату.
3. 8th August 2013, 18:56 // Читатель jno написал:
это-то – понятно.
неясно с реализацией.
блин, почему нельзя просто подписывать ЭЦП владельца домена нужные сертификаты?
да и вообще, идея ЦА нынче выглядит криво – раздают всё подряд кому ни попадя…
сертификат должен выпускать сам владелец.
и подписывать его.
остальное – форма нотариата.
а нотариусы *за* клиента договора не составляют!