Ресурсы: техническое описание TLS, LaTeX - в картинки (img), криптографическая библиотека Arduino, шифр "Кузнечик" на ассемблере AMD64/AVX и ARM64
Инициатива Certificate Transparency
Одна из основных проблем современной инфраструктуры SSL-сертификатов в том, что удостоверяющие центры (УЦ) могут выпускать сертификаты, нарушающие принципы построения цепочки доверия в клиентском программном обеспечении. Самый распространённый пример таких сертификатов – сертификаты, выпущенные для того или иного домена без разрешения администратора этого домена.
Бороться с таким положением дел можно, кроме прочего, с помощью построения дополнительной открытой системы аудита сертификатов, назависимой от УЦ и доступной для использования каждому, кто заинтересован в дополнительной проверке полученных с сервера сертификатов. При поддержке Google развивается как раз такая система: Certificate Transparency (CT). Основные задачи, которые могут быть решены при помощи CT: затруднить выпуск SSL-сертификатов для домена, невидимый администратору этого домена; позволить администратору домена узнать, какие сертификаты для его домена были выпущены; оградить клиентское программное обеспечение от доверенного использования неправомерно выпущенных сертификатов. Решается всё при помощи ведения лога, содержащего описания сертификатов. Подробности есть на сайте.
Адрес записки: https://dxdt.ru/2013/08/02/6064/
Похожие записки:
- Системы счисления и системное администрирование
- Централизованные мессенджеры и многообразие мест хранения сообщений
- Реплика: история с сертификатом Jabber.ru и "управление доверием"
- Полностью зашифрованные протоколы в Интернете
- Реплика: интернет-названия
- ИИ для принятия решений
- Миниатюрный замок из пятого века
- DNS-over-TLS и Timeweb
- Домен SU в его развитии
- Сертификаты и их цепочки в вебе
- Реестр параметров TLS IANA и именование индексов
Комментарии читателей блога: 3
1 <t> // 3rd August 2013, 23:51 // Читатель jno написал:
> оградить клиентское программное обеспечение от доверенного
> использования неправомерно выпущенных сертификатов
чё-то я не вкурил этот пункт…
2 <t> // 5th August 2013, 09:15 // Александр Венедюхин:
Там вот о чём речь: браузер сможет выяснить, что полученный с сервера сертификат был выпущен без ведома администратора домена, и, соответственно, не будет доверять этому сертификату.
3 <t> // 8th August 2013, 18:56 // Читатель jno написал:
это-то – понятно.
неясно с реализацией.
блин, почему нельзя просто подписывать ЭЦП владельца домена нужные сертификаты?
да и вообще, идея ЦА нынче выглядит криво – раздают всё подряд кому ни попадя…
сертификат должен выпускать сам владелец.
и подписывать его.
остальное – форма нотариата.
а нотариусы *за* клиента договора не составляют!