Рейтинг
0.00

Leaderssl Хостинг

1 читатель, 39 топиков

В Firefox 70 появятся новые индикаторы безопасности



В браузере Firefox 70 появятся новые индикаторы безопасности, которые позволят снизить визуальную значимость EV SSL-сертификатов и привлечь больше внимания к сайтам, передаваемым через небезопасный протокол HTTP.

Разработчики Google отказались от EV-индикаторов еще в сентябре, выпустив обновленный релиз Chrome 77. В браузере Firefox 70 будет сделано то же самое: зеленый замочек станет серым, а название компании пропадет из адресной строки браузера.



Как и в случае с Chrome, информация о EV-сертификате по-прежнему доступна, но пользователям теперь нужно щелкнуть по замочку, чтобы открыть панель с информацией о сайте.

В Firefox больше не будет выводиться иконка «information» слева от замочка. Ее функциональность теперь встроена в сам замочек. Если сайт будет передаваться по незащищенным протоколам FTP или HTTP, замочек будет перечеркнутым. Раньше такая иконка отображалась только для страниц, требующих ввода данных и передаваемых по HTTP; теперь эта иконка будет выводиться для всех HTTP- и FTP-страниц.

Также в Firefox 70 появится новая иконка с щитом, чтобы показать, включены или выключены в браузере новые возможности защиты от слежения. Серый щит указывает на то, что защита включена (но пока не использовалась), фиолетовый щит – что защита использовалась для текущей страницы, перечеркнутый щит – что защита выключена.


www.leaderssl.ru

В Chrome появится индикатор Not Secure для сайтов, использующих устаревшие TLS-версии



Как мы уже писали ранее, крупные разработчики браузеров, включая Google, Mozilla, Microsoft и Apple, анонсировали отказ от поддержки TLS 1.0 и 1.1 в своих решениях в 2019 году. Данные протоколы, несмотря на то, что в них отсутствуют какие-либо известные уязвимости, не поддерживают современные криптографические алгоритмы.

Команда Chrome недавно сообщила о том, какие предупреждения будут выводиться для пользователей браузера при посещении сайтов с устаревшими версиями протокола TLS.

Разработчики Chrome планируют прекратить поддержку TLS 1.0 и 1.1 в два этапа.

На первом этапе в браузере будет выводиться предупреждение о том, что на сайте используется устаревший протокол TLS.

Браузер будет отображать индикатор «Not Secure», начиная с версии Chrome 79, которая должна появиться 13 января 2020 года. При щелчке по индикатору будет выводиться предупреждение о том, что подключение к сайту не является полностью защищенным. На данном этапе блокировки TLS 1.0 и 1.1 не будет.



Полная блокировка последует на втором этапе. По планам Google это должно произойти в марте 2020 года с выходом Chrome 81. В данном случае появится полноэкранное предупреждение, где будет указано, что на сайте используется устаревшая конфигурация безопасности, которая может вести к раскрытию передаваемых данных.

www.leaderssl.ru

Одобрено предложение Ballot SC21 по контролю целостности логов



CA/B Forum, регулирующий орган в сфере SSL, принял большинством голосов предложение Ballot SC21, связанное с улучшением контроля целостности логов. Главная цель предложения — доработка документа Network and Certificate System Security Requirements, который был утвержден 3 августа 2012 и начал применяться с 1 января 2013.

В частности, специалисты предложили улучшить автоматизацию и непрерывный мониторинг сетей систем и сертификатов. Ручные действия в большинстве случаев являются менее эффективными и более ресурсоемкими, нежели автоматический мониторинг.

Предложение Ballot SC21 также вводит особые требования в отношении своевременности разрешения поступивших уведомлений от систем автоматического мониторинга. Это позволяет гарантировать, что автоматизация не приведет к тому, что потенциальная проблема будет дольше оставаться нераскрытой.

Новые положения, которые были введены в секцию 3 документа Network and Certificate System Security Requirements:
  • 3.e. Мониторинг целостности ведения системных логов и логов приложений осуществляется посредством непрерывного отслеживания и оповещений, либо с помощью ручного анализа для обеспечения эффективности ведения логов и корректной работы функций контроля целостности логов. Если используется ручная проверка и система подключена к сети, процесс должен выполняться не реже одного раза в 31 день.
  • 3.f. Мониторинг архивации и хранения логов, чтобы гарантировать, что все логи хранятся в течение достаточного периода времени в соответствии с существующими бизнес-практиками и законодательными нормами.
  • 3.g. Если непрерывный автоматический мониторинг и оповещения используются для целей секций 1.h или 3.e этих Требований (https://cabforum.org/wp-content/uploads/CABForum-Network-Security-Controls-1.2.pdf), вы должны отреагировать на предупреждение и разработать план действий в течение максимум 24 часов.

www.leaderssl.ru

Начиная с января 2020, в Chrome будет блокироваться смешанное содержимое



Команда Google Security Team анонсировала план по блокировке смешанного содержимого, чтобы обеспечить более безопасный просмотр HTTPS-страниц. Смешанное содержимое относится к HTTPS-страницам, на которых загружаются различные ресурсы (изображения, видео, таблицы стилей, скрипты) по HTTP.

Развертывание блокировки смешанного содержимого начнется с выхода Chrome 79 в декабре 2019 года. В данный момент браузер уже блокирует смешанное содержимое (скрипты и iframe), однако в версии 79 будет добавлен новый параметр для отмены такой блокировки вручную для каждого конкретного сайта.

Следующая фаза: выход Chrome 80 в январе 2020. В данном релизе все аудио- и видео-ресурсы, загружаемые по HTTP, будут по умолчанию обновляться до HTTPS. Если их загрузка по HTTPS будет недоступна, Chrome попросту заблокирует их. Изображения, доступные по HTTP, пока еще будут загружаться, однако Chrome будет выдавать надпись «Not Secure» в адресной строке.

Финальная фаза: выход Chrome 81 в феврале 2020. Изображения, доступные по HTTP, будут автоматически обновляться до HTTPS. Если их загрузка будет невозможна по HTTPS, то изображения будут заблокированы.

Целью блокировки смешанного содержимого является устранение потенциальных дыр в безопасности для сайтов, которые уже перешли на HTTPS.

www.leaderssl.ru

CA/B Forum не поддержал сокращение максимального срока действия SSL-сертификатов до года



Предложение Ballot SC22 по сокращению максимального срока действия SSL-сертификатов до одного года (точнее: до 397 дней) было отклонено большинством голосов. Активные обсуждения, связанные с этим, велись в CA/B Forum на протяжении последних нескольких месяцев.

В данный момент максимальный срок действия SSL-сертификата составляет 2 года (точнее: 825 дней).

Как показали результаты Ballot SC22, все опрошенные поставщики браузеров проголосовали за сокращения срока действия сертификатов. Также к ним присоединились Let's Encrypt, Sectigo, Amazon и некоторые другие компании.

Среди противников данного нововведения выступили Certum, Entrust Datacard, GlobalSign, GoDaddy и еще 15 компаний.

За сокращение срока действия сертификатов до года проголосовало в общей сложности 37% участников CA/B Forum.

В качестве преимуществ сокращения срока действия SSL-сертификатов до года назывались снижение потенциальных рисков в случае с компрометацией приватного ключа и более быстрая реакция на изменения индустрии.

Недостатки у такого подхода тоже имеются: к примеру, это потребует от компаний дополнительных затрат на обновление своей устоявшейся инфраструктуры.

www.leaderssl.ru

Google и Mozilla прекратят выводить наименование компании в адресной строке браузера

Разработчики крупнейших браузеров Google Chrome и Mozilla Firefox анонсировали отказ от вывода наименования компании в EV (Extended Validation) SSL-сертификатах. В данный момент наименование организации выводится в адресной строке браузера.


Начиная с версии Chrome 77, которая по плану должна появиться в сентябре, в адресной строке браузера больше не будет присутствовать наименование организации. Аналогичное нововведение будет реализовано и в версии Firefox 70, которая запланирована на октябрь.

Почему разработчики браузеров решили отказаться от индикации EV в адресной строке
Всю информацию о EV SSL-сертификате теперь можно будет посмотреть при щелчке по иконке замочка.

Причина отказа от EV-индикаторов в адресной строке браузеров проста: крупные компании, включая Twitter, Amazon, YouTube, Facebook, не используют эти сертификаты.

В долгосрочной перспективе разработчики Chrome хотят вообще отказаться от иконки замочка для HTTPS-сайтов. То же самое будет реализовано и в Firefox 77.

По мнению специалистов Google, наименование EV-сертификата занимает ценное пространство экрана браузера и ломает целостность UI для всех остальных видов сертификатов.

Еще одна проблема: в мобильных браузерах чаще всего не отображается EV-индикация (или отображается, но для большинства пользователей она незаметна). Специалисты Apple уже отказались от вывода наименования компании для EV-сертификатов в Safari на iOS 12 и macOS 10.14.

Безусловно, отказываться от EV SSL-сертификатов не понадобится – они по-прежнему используются и гарантируют максимальную защиту передаваемых данных.

www.leaderssl.ru

Владельцы доменов могут публиковать номера телефонов в DNS CAA для валидации



CA/B Forum, регулирующий орган индустрии SSL, принял большинством голосов Ballot SC19, согласно которому владельцы доменов теперь могут публиковать номера телефонов в записях DNS CAA, что используется для выполнения валидации.

Правила «Baseline Requirements for the Issuance and Management of Publicly-Trusted Certificates» были изменены, о чем мы расскажем далее.

Добавлена секция 3.2.2.4.17
Данный раздел определяет правила телефонной связи при помощи номера, определенного в DNS CAA.

Согласно секции 3.2.2.4.17, удостоверяющий центр может подтвердить контроль заявителя над доменным именем при помощи совершения звонка по номеру, который указан в DNS CAA. Во время одного телефонного звонка могут быть подтверждены несколько доменных имен, если для них был указан один и тот же телефонный номер.

Также валидация доменного имени может быть осуществлена и через голосовую почту – для этого удостоверяющий центр оставляет проверочное случайное значение, которое необходимо будет вернуть удостоверяющему центру для прохождения проверки. Случайное значение должно быть действительно не более 30 дней с момента его создания.

Метод подходит в том числе и для проверки Wildcard-доменов.

Добавлена секция B.1.2.
В приложении описывается свойство CAA contactphone и его синтаксис. Свойство принимает значение телефонного номера. В качестве значения должен использоваться глобальный номер, что определено в секции 5.1.4 RFC 3966. Глобальные номера начинаются с символа «+» и включают в себя код страны. Также номера могут содержать визуальные разделители.

Пример:
$ORIGIN example.com.
CAA 0 contactphone “+1 (555) 123-4567”


www.leaderssl.ru

Протокол ACME был утвержден в качестве стандарта IETF



Протокол ACME (Automated Certificate Management Environment) был официально стандартизирован Инженерным советом Интернета (IETF). С помощью протокола ACME удостоверяющие центры могут автоматизировать процесс выдачи и проверки сертификата.

Преимущества стандартизации ACME
Наличие стандартизированного протокола, позволяющего выпускать сертификаты и управлять ими, несет в себе следующие преимущества:
  • Повышается качество программной экосистемы. Разработчики могут придерживаться одного протокола, вместо того чтобы поддерживать разные компоненты посредством произвольных API.
  • Упрощается переключение между удостоверяющими центрами. Происходит минимизация технической привязки к одного УЦ.
В данный момент, как следует из описания протокола, ACME вряд ли подойдет для выпуска OV и EV SSL-сертификатов, однако он может сыграть важную роль в этом процессе. Потенциально ACME позволяет автоматизировать некоторые шаги процесса валидации, которые требуются для выпуска OV и EV сертификатов.

Крупные удостоверяющие центры уже начинают внедрять ACME протокол. Как следует из открытых источников, DigiCert тестирует внедрение поддержки ACME в свою платформу управления сертификатами CertCentral. Также поддержка ACME присутствует в менеджере сертификатов Sectigo.

www.leaderssl.ru

CA/B Forum уточнил использование атрибутов поля Subject в SSL-сертификатах



На днях CA/B Forum, регулирующий орган индустрии SSL, большинством голосов принял Ballot SC16, призванный уточнить использование атрибутов поля Subject в SSL-сертификатах.

Суть предложения Ballot SC16
В секцию 7.1.4.2 базовых требований (Baseline Requirements) теперь добавляется уточнение: «атрибуты Subject не должны состоять из одних метаданных (нельзя в качестве значения приводить такие символы, как точка, дефис или пробел). Недопустимым является любое указание на то, что значение отсутствует, неполное или не применяется».

Секция 7.1.4.2.2(j.) была дополнена следующим уточнением: «в поле Subject могут присутствовать другие атрибуты. Если они имеются, то они должны содержать информацию, проверенную удостоверяющим центром».

Также Ballot SC16 меняет и правила расширенной проверки «Guidelines For The Issuance And Management Of Extended Validation Certificates».

Секция 9.2.8 теперь содержит следующее уточнение:
В атрибуте OU не должно содержаться название, торговая марка, адрес, расположение или любой другой текст, относящийся к конкретному физическому или юридическому лицу, пока удостоверяющий центр не проверит эту информацию в соответствии с секцией 11. В этом поле не должны быть метаданные, включая точку, дефис или пробел; также нельзя использовать любые другие указания на то, что значение отсутствует, является неполным или неприменимым

Также добавляется секция 9.2.9, гласящая:
Удостоверяющий центр может добавлять только те атрибуты Subject, которые указаны в секции 9.2

Яндекс вводит более активные предупреждения о небезопасности HTTP-сайтов



Предупреждения о небезопасности сайтов, передаваемых по HTTP, появятся в новой версии Яндекс.Браузера, на поиске, а также в других сервисах компании.

Яндекс еще в конце февраля предупредил пользователей о том, что в дальнейшем компания планирует вводить более явные сигналы о небезопасности HTTP-сайтов для посетителей.

Также специалисты Яндекс косвенно намекнули о том, что HTTPS является одним из факторов ранжирования сайтов в поисковой выдаче. Из заметки в блоге Яндекса следует, что при ранжировании учитывается вся информация, указывающая на качество сайта. При этом HTTPS – это признак качественного сайта.

Реализацию предупреждений о HTTP можно уже посмотреть в бета-версии Яндекс.Браузера 19.3.1. Нечто подобное в ближайшее время появится и в поисковой системе Яндекс.

Начиная с конца января 2019, в сервисе Яндекс.Вебмастер также стали появляться уведомления о том, что сайт использует протокол HTTP, и давались рекомендации по переходу на HTTPS.

Многие вебмастера считают, что со временем влияние HTTPS на ранжирование страниц в Яндексе будет только расти.

Если вы до сих пор используете протокол HTTP на своих сайтах, мы настоятельно рекомендуем перейти на HTTPS. Это позволит вам избежать утечки пользователей в результате новых уведомлений Яндекса о небезопасности HTTP-сайтов.

Чтобы перейти на HTTPS, вам необходимо приобрести SSL-сертификат. Для бизнеса мы советуем приобретать EV SSL-сертификаты, которые позволяют вывести наименование организации в адресной строке браузера.
www.leaderssl.ru/suppliers/comodo/products/ev

Владельцам обычных информационных сайтов и блогов подойдет самый простой сертификат Positive SSL.
www.leaderssl.ru/suppliers/comodo/products/positivessl