Рейтинг
0.00

Leaderssl Хостинг

1 читатель, 42 топика

Принят Ballot SC25, определяющий новые методы HTTP-валидации домена



CA/B Forum, регулирующий орган в индустрии SSL-сертификатов, принял большинством голосов новый Ballot SC25, определяющий методы HTTP-валидации доменов.

Согласно новому требованию, метод 6 (пункт 3.2.2.4.6) из документа «Baseline Requirements for the Issuance and Management of Publicly-Trusted Certificates» считается упраздненным. Однако он будет оставаться актуальным в течение переходного периода (3 месяца с момента принятия Ballot SC25). Впоследствии удостоверяющие центры не смогут опираться на данный пункт при проведении валидации доменов.

Также вводятся два новых метода валидации доменов.

Первый метод валидации домена призван заменить собой устаревший метод 3.2.2.4.6 «Базовых Требований». Второй метод требуется для описания ACME HTTP-валидации, как указано в секции 8.3 спецификации RFC 8555.

Изучить новые методы HTTP-валидации домена можно по ссылке: github.com/dougbeattie/documents/commit/bb90ff37c4bc043636229138d9923fcff670cdfc#diff-7f6d14a20e7f3beb696b45e1bf8196f2

В частности, интерес представляют новые пункты:
  • 3.2.2.4.18 — Agreed-Upon Change to Website v2
  • 3.2.2.4.19 — Agreed-Upon Change to Website — ACME

Google Chrome будет блокировать небезопасные HTTP-загрузки



Разработчики Google Chrome анонсировали блокировку так называемых «загрузок смешанного контента» (когда на HTTPS-страницах загружаются файлы по HTTP-ссылкам). Этот шаг отвечает более раннему подходу Chrome с блокировкой всех небезопасных ресурсов на HTTPS-страницах.

Файлы, загружаемые по HTTP-ссылкам, угрожают приватности и безопасности пользователей. В качестве первого шага разработчики Chrome хотят запретить HTTP-загрузки на HTTPS-страницах.

Начиная с Chrome 82, который должен выйти в апреле 2020, в браузере появятся предупреждения о загрузках небезопасного контента. Поначалу это правило будет распространяться только на исполняемые файлы, но затем под него подпадут и другие типы файлов.

Полная блокировка всех HTTP-загрузок должна появиться в релизе Chrome 86, который запланирован к выходу в октябре 2020.

Корпоративные клиенты и различные образовательные проекты могут отключить блокировку загрузок для каждого сайта на индивидуальной основе, используя политику InsecureContentAllowedForUrls.

Microsoft выпустила патчи для найденной уязвимости в Windows CryptoAPI

На днях Microsoft сообщила о том, что процедура проверки x.509-сертификатов на базе ECC в Windows содержит в себе критическую уязвимость. Для всех поддерживаемых версий Windows были выпущены патчи.


Уязвимость была раскрыта 14 января. Она связана с Windows CryptoAPI и делает возможным создание поддельных TLS- и Code Signing-сертификатов.

Мы настоятельно рекомендуем немедленно установить патчи на все используемые вами системы с Windows. Набор обновлений безопасности доступен по ссылке: portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601.

Microsoft рекомендует обновиться как можно быстрее пользователям с Windows 10, Windows Server 2016 и Windows Server 2019.

Что делать клиентам с уже имеющимися SSL-сертификатами
Обращаем ваше внимание на то, что уязвимость никоим образом не влияет на уже имеющиеся у вас сертификаты, вне зависимости от этого, используют ли они алгоритм кодирования ECC или нет.

Вам НЕ НУЖНО перевыпускать ваши Code Signing и/или TLS-сертификаты. Вам НЕ НУЖНО отказываться от использования алгоритма ECC (если вы его используете).

www.leaderssl.ru

В Firefox 70 появятся новые индикаторы безопасности



В браузере Firefox 70 появятся новые индикаторы безопасности, которые позволят снизить визуальную значимость EV SSL-сертификатов и привлечь больше внимания к сайтам, передаваемым через небезопасный протокол HTTP.

Разработчики Google отказались от EV-индикаторов еще в сентябре, выпустив обновленный релиз Chrome 77. В браузере Firefox 70 будет сделано то же самое: зеленый замочек станет серым, а название компании пропадет из адресной строки браузера.



Как и в случае с Chrome, информация о EV-сертификате по-прежнему доступна, но пользователям теперь нужно щелкнуть по замочку, чтобы открыть панель с информацией о сайте.

В Firefox больше не будет выводиться иконка «information» слева от замочка. Ее функциональность теперь встроена в сам замочек. Если сайт будет передаваться по незащищенным протоколам FTP или HTTP, замочек будет перечеркнутым. Раньше такая иконка отображалась только для страниц, требующих ввода данных и передаваемых по HTTP; теперь эта иконка будет выводиться для всех HTTP- и FTP-страниц.

Также в Firefox 70 появится новая иконка с щитом, чтобы показать, включены или выключены в браузере новые возможности защиты от слежения. Серый щит указывает на то, что защита включена (но пока не использовалась), фиолетовый щит – что защита использовалась для текущей страницы, перечеркнутый щит – что защита выключена.


www.leaderssl.ru

В Chrome появится индикатор Not Secure для сайтов, использующих устаревшие TLS-версии



Как мы уже писали ранее, крупные разработчики браузеров, включая Google, Mozilla, Microsoft и Apple, анонсировали отказ от поддержки TLS 1.0 и 1.1 в своих решениях в 2019 году. Данные протоколы, несмотря на то, что в них отсутствуют какие-либо известные уязвимости, не поддерживают современные криптографические алгоритмы.

Команда Chrome недавно сообщила о том, какие предупреждения будут выводиться для пользователей браузера при посещении сайтов с устаревшими версиями протокола TLS.

Разработчики Chrome планируют прекратить поддержку TLS 1.0 и 1.1 в два этапа.

На первом этапе в браузере будет выводиться предупреждение о том, что на сайте используется устаревший протокол TLS.

Браузер будет отображать индикатор «Not Secure», начиная с версии Chrome 79, которая должна появиться 13 января 2020 года. При щелчке по индикатору будет выводиться предупреждение о том, что подключение к сайту не является полностью защищенным. На данном этапе блокировки TLS 1.0 и 1.1 не будет.



Полная блокировка последует на втором этапе. По планам Google это должно произойти в марте 2020 года с выходом Chrome 81. В данном случае появится полноэкранное предупреждение, где будет указано, что на сайте используется устаревшая конфигурация безопасности, которая может вести к раскрытию передаваемых данных.

www.leaderssl.ru

Одобрено предложение Ballot SC21 по контролю целостности логов



CA/B Forum, регулирующий орган в сфере SSL, принял большинством голосов предложение Ballot SC21, связанное с улучшением контроля целостности логов. Главная цель предложения — доработка документа Network and Certificate System Security Requirements, который был утвержден 3 августа 2012 и начал применяться с 1 января 2013.

В частности, специалисты предложили улучшить автоматизацию и непрерывный мониторинг сетей систем и сертификатов. Ручные действия в большинстве случаев являются менее эффективными и более ресурсоемкими, нежели автоматический мониторинг.

Предложение Ballot SC21 также вводит особые требования в отношении своевременности разрешения поступивших уведомлений от систем автоматического мониторинга. Это позволяет гарантировать, что автоматизация не приведет к тому, что потенциальная проблема будет дольше оставаться нераскрытой.

Новые положения, которые были введены в секцию 3 документа Network and Certificate System Security Requirements:
  • 3.e. Мониторинг целостности ведения системных логов и логов приложений осуществляется посредством непрерывного отслеживания и оповещений, либо с помощью ручного анализа для обеспечения эффективности ведения логов и корректной работы функций контроля целостности логов. Если используется ручная проверка и система подключена к сети, процесс должен выполняться не реже одного раза в 31 день.
  • 3.f. Мониторинг архивации и хранения логов, чтобы гарантировать, что все логи хранятся в течение достаточного периода времени в соответствии с существующими бизнес-практиками и законодательными нормами.
  • 3.g. Если непрерывный автоматический мониторинг и оповещения используются для целей секций 1.h или 3.e этих Требований (https://cabforum.org/wp-content/uploads/CABForum-Network-Security-Controls-1.2.pdf), вы должны отреагировать на предупреждение и разработать план действий в течение максимум 24 часов.

www.leaderssl.ru

Начиная с января 2020, в Chrome будет блокироваться смешанное содержимое



Команда Google Security Team анонсировала план по блокировке смешанного содержимого, чтобы обеспечить более безопасный просмотр HTTPS-страниц. Смешанное содержимое относится к HTTPS-страницам, на которых загружаются различные ресурсы (изображения, видео, таблицы стилей, скрипты) по HTTP.

Развертывание блокировки смешанного содержимого начнется с выхода Chrome 79 в декабре 2019 года. В данный момент браузер уже блокирует смешанное содержимое (скрипты и iframe), однако в версии 79 будет добавлен новый параметр для отмены такой блокировки вручную для каждого конкретного сайта.

Следующая фаза: выход Chrome 80 в январе 2020. В данном релизе все аудио- и видео-ресурсы, загружаемые по HTTP, будут по умолчанию обновляться до HTTPS. Если их загрузка по HTTPS будет недоступна, Chrome попросту заблокирует их. Изображения, доступные по HTTP, пока еще будут загружаться, однако Chrome будет выдавать надпись «Not Secure» в адресной строке.

Финальная фаза: выход Chrome 81 в феврале 2020. Изображения, доступные по HTTP, будут автоматически обновляться до HTTPS. Если их загрузка будет невозможна по HTTPS, то изображения будут заблокированы.

Целью блокировки смешанного содержимого является устранение потенциальных дыр в безопасности для сайтов, которые уже перешли на HTTPS.

www.leaderssl.ru

CA/B Forum не поддержал сокращение максимального срока действия SSL-сертификатов до года



Предложение Ballot SC22 по сокращению максимального срока действия SSL-сертификатов до одного года (точнее: до 397 дней) было отклонено большинством голосов. Активные обсуждения, связанные с этим, велись в CA/B Forum на протяжении последних нескольких месяцев.

В данный момент максимальный срок действия SSL-сертификата составляет 2 года (точнее: 825 дней).

Как показали результаты Ballot SC22, все опрошенные поставщики браузеров проголосовали за сокращения срока действия сертификатов. Также к ним присоединились Let's Encrypt, Sectigo, Amazon и некоторые другие компании.

Среди противников данного нововведения выступили Certum, Entrust Datacard, GlobalSign, GoDaddy и еще 15 компаний.

За сокращение срока действия сертификатов до года проголосовало в общей сложности 37% участников CA/B Forum.

В качестве преимуществ сокращения срока действия SSL-сертификатов до года назывались снижение потенциальных рисков в случае с компрометацией приватного ключа и более быстрая реакция на изменения индустрии.

Недостатки у такого подхода тоже имеются: к примеру, это потребует от компаний дополнительных затрат на обновление своей устоявшейся инфраструктуры.

www.leaderssl.ru

Google и Mozilla прекратят выводить наименование компании в адресной строке браузера

Разработчики крупнейших браузеров Google Chrome и Mozilla Firefox анонсировали отказ от вывода наименования компании в EV (Extended Validation) SSL-сертификатах. В данный момент наименование организации выводится в адресной строке браузера.


Начиная с версии Chrome 77, которая по плану должна появиться в сентябре, в адресной строке браузера больше не будет присутствовать наименование организации. Аналогичное нововведение будет реализовано и в версии Firefox 70, которая запланирована на октябрь.

Почему разработчики браузеров решили отказаться от индикации EV в адресной строке
Всю информацию о EV SSL-сертификате теперь можно будет посмотреть при щелчке по иконке замочка.

Причина отказа от EV-индикаторов в адресной строке браузеров проста: крупные компании, включая Twitter, Amazon, YouTube, Facebook, не используют эти сертификаты.

В долгосрочной перспективе разработчики Chrome хотят вообще отказаться от иконки замочка для HTTPS-сайтов. То же самое будет реализовано и в Firefox 77.

По мнению специалистов Google, наименование EV-сертификата занимает ценное пространство экрана браузера и ломает целостность UI для всех остальных видов сертификатов.

Еще одна проблема: в мобильных браузерах чаще всего не отображается EV-индикация (или отображается, но для большинства пользователей она незаметна). Специалисты Apple уже отказались от вывода наименования компании для EV-сертификатов в Safari на iOS 12 и macOS 10.14.

Безусловно, отказываться от EV SSL-сертификатов не понадобится – они по-прежнему используются и гарантируют максимальную защиту передаваемых данных.

www.leaderssl.ru

Владельцы доменов могут публиковать номера телефонов в DNS CAA для валидации



CA/B Forum, регулирующий орган индустрии SSL, принял большинством голосов Ballot SC19, согласно которому владельцы доменов теперь могут публиковать номера телефонов в записях DNS CAA, что используется для выполнения валидации.

Правила «Baseline Requirements for the Issuance and Management of Publicly-Trusted Certificates» были изменены, о чем мы расскажем далее.

Добавлена секция 3.2.2.4.17
Данный раздел определяет правила телефонной связи при помощи номера, определенного в DNS CAA.

Согласно секции 3.2.2.4.17, удостоверяющий центр может подтвердить контроль заявителя над доменным именем при помощи совершения звонка по номеру, который указан в DNS CAA. Во время одного телефонного звонка могут быть подтверждены несколько доменных имен, если для них был указан один и тот же телефонный номер.

Также валидация доменного имени может быть осуществлена и через голосовую почту – для этого удостоверяющий центр оставляет проверочное случайное значение, которое необходимо будет вернуть удостоверяющему центру для прохождения проверки. Случайное значение должно быть действительно не более 30 дней с момента его создания.

Метод подходит в том числе и для проверки Wildcard-доменов.

Добавлена секция B.1.2.
В приложении описывается свойство CAA contactphone и его синтаксис. Свойство принимает значение телефонного номера. В качестве значения должен использоваться глобальный номер, что определено в секции 5.1.4 RFC 3966. Глобальные номера начинаются с символа «+» и включают в себя код страны. Также номера могут содержать визуальные разделители.

Пример:
$ORIGIN example.com.
CAA 0 contactphone “+1 (555) 123-4567”


www.leaderssl.ru