Digitaalisten varmenteiden, sertifikaattien, SSL/TLS-protokollan ja digitaalisten identiteettien osalta on tapahtunut paljon muutoksia viimeisten vuosien aikana. Edellinen vuosi ei ollut poikkeus ja tässä lyhyt kertaus vuoden 2021 merkittävimpiin muutoksiin.
Certificate Transparency -vaatimusten muutokset Googlella ja Applella
(02-03/2021)
Google ilmoitti muutoksista Chrome Certificate Transparency (CT) vaatimuksiin helmikuussa 2021 ja vastaavasti Apple ilmoitti omista muutoksistaan maaliskuussa 2021. En uppoudu muutoksiin tarkemmin, mutta tarkoituksena oli tehdä parannuksia ja tarkennuksia CT-vaatimuksiin vaatimalla useampien eri CT logien käyttöä yms. Muutokset vaatimuksissa johtivat satunnaisiin tilanteisiin, joissa jotkut CA:t eivät olleet molempien, eriävien vaatimusten mukaisia ja tämä aiheutti ongelmia mm. GoDaddyn ja GlobalSignin varmenteiden toiminnassa.
TLS 1.0 ja TLS 1.1 protokollien poistaminen virallisesti käytöstä (deprecation)
(03/2021)
Maaliskuussa 2021 Internet Engineering Task Force, IETF julkaisi RFC 8996:n, jossa TLS 1.0 ja TLS 1.1 protokollat hylättiin virallisesti. Jo vuosia on ollut tiedossa, että molemmissa protokollissa on haavoittuvuuksia, eikä niitä ole onneksi aktiivisesti käytetty pitkään aikaan. Yleisimmät selaimet ovat varoittaneet jo aiemmin, jos yhteyttä on yritetty muodostaa vanhentuneella TLS-protokollalla.
Code Signing -varmenneavainten vähimmäiskoon muutos
(voimassa 06/2021)
CA/Browser Forumin Code Signing Certificate Working Group teki muutoksia Code Signing -varmenneavainten minimikokoihin ja 1.6.2021 alkaen RSA-avainten minimiksi vaaditaan 3072 bittiä ja ECC-avaimissa hyväksytään NIST P-256, P-384, tai P-521.
ALPACA TLS -haavoittuvuus
(tutkijaryhmän julkistus 06/2021)
ALPACA (application layer protocol content confusion attack) on haavoittuvuus, jonka avulla voidaan hyökätä TLS-protokollaa vastaan, palvelimilla ja palveluissa, jotka käyttävät wildcard- ja multi-domain-varmenteita. Man-in-the-Middle (MitM) -hyökkääjät voivat ohjata liikennettä yhdestä aliverkkotunnuksesta toiseen, mikä johtaisi kelvolliseen TLS-istuntoon. Haavoittuvuuden julkaisija, Marcus Brinkmann toteaa: ”Perusperiaate on, että hyökkääjä voi ohjata yhdelle palvelulle tarkoitettua liikennettä toiseen, koska TLS ei suojaa IP-osoitetta tai porttinumeroa.”
Brinkmann ja tutkijaryhmä antaa vinkkejä haavoittuvuuden vähentämiseksi omalla julkaisusivullaan, How to Mitigate ALPACA Attacks With ALPN and SNI ja NSA:n vastaavat ohjeet löytyvät täältä.
Domainien uudelleenverifiointi vuoden välein (398 päivää)
(voimassa 10/2021)
Varmenteiden elinikää on lyhennetty viime vuosina tiuhaan tahtiin ja viime vuonna myös domainien verifioinnin voimassaoloaikaa lyhennettiin 398 päivään (CA Browser Forum Ballot SC42). Jatkossa varmenteissa käytettävät domainit on verifioitava n. 13 kk välein.
Web Server-verifiointimetodin rajoitukset muutokset
(voimassa 12/2021)
Web Server -verifiointimetodiin (virallisesti method 6, Agreed-Upon Change to Website) tuli muutoksia loppuvuodesta. Muutoksen myötä Web Server -metodilla verifioiduille domaineille ei voida myöntää wildcard-varmenteita ollenkaan ja jokainen varmenteelle lisättävä domain/SAN pitää verifioida erikseen.
S/MIME varmenteiden eliniän lyhentäminen 27 kuukauteen
(voimassa 04/2022)
Apple ilmoitti lokakuussa 2021 pidetyssä CA/Browser Forumin kokouksessa muutoksista S/MIME-varmenteiden vaatimuksiinsa. Huhtikuusta 2022 alkaen myönnettyjen S/MIME-varmenteiden elinikä voi Applen vaatimusten mukaan olla maksimissaan 825 päivää eli n. 2 vuotta. Aiemmin industry standard on ollut kolme vuotta.
Organization Unit (OU) tiedon poistaminen julkisista varmenteista
(voimassa 09/2022 alkaen)
Julkisten varmenteiden Subject-kentän tiedot pitää varmistaa (verifioida) CA/Browser Forumin sääntöjen mukaan. OU-kentän (organisaatioyksikkö) osalta ei ole ollut selkeää ja johdonmukaista tapaa vahvistaa kyseistä tietoa paikkansa pitäväksi, joten CA/Browser Forum äänesti OU-kentän poistamisen puolesta (CA Browser Forum Ballot SC47). OU-kenttää ei voi lisätä julkisesti luotettuun varmenteeseen 1.9.2022 alkaen.
Tarkempia tietoja muutoksista voit kysyä tuestamme: tuki@wesentra.com tai ota yhteyttä -lomakkeen kautta