¿Ha habido propuestas para automatizar la concesión y renovación de certificados EV?

3

Al ser Let's Encrypt la primera CA en implementar ACME, la configuración de TLS en los dominios se ha vuelto barata, fácil y, sobre todo, automatizada.

Let's Encrypt ha dejado claro que EV está lejos de ser un objetivo inmediato de su organización , debido a su requerimiento de esfuerzo humano, lo que no sería posible utilizando su modelo automatizado, pero surgirán propuestas a lo largo de los años para automatizar la firma de certificados de validación extendida o para implementar alternativas a EV que permitan automatización más fácil?

    
pregunta Jules 16.01.2017 - 23:49
fuente

3 respuestas

2

EV y el certificado normal tienen un objetivo muy diferente en mente. Por un lado, los certificados son para todos. Todos pueden y deben obtener un certificado para su dominio; el único requisito es ser propietario del dominio.

Por otro lado, EV es una prueba real de identidad, no solo del dominio, sino de que este dominio es, de hecho, el dominio de esta compañía, de que usted es un representante de esta compañía, etc. No verifica solo el dominio La propiedad pero la verdadera identidad física. Ese es un nivel más alto de verificación de identidad y, por lo tanto, un nivel más alto de confianza y, obviamente, no se puede automatizar. E incluso si no pudiera, la verificación humana es exactamente lo que la hace más valiosa.

El objetivo de Vamos a cifrar es que es fácil de obtener, por lo que cada sitio web en Internet recibe https.

El punto de EV es que es difícil de conseguir. Así que el phishing se vuelve más difícil. Probablemente pueda obtener un certificado para un dominio que intenta imitar un dominio conocido, pero no puede obtener un certificado EV para dicho dominio, porque ningún humano lo permitiría.

Por lo tanto, hacer que el certificado EV sea gratuito y automatizado por los bots no tiene en cuenta el punto EV y disminuiría la confianza que obtenemos en todos los demás dominios protegidos contra EV. No tiene sentido tener EV, si todos pueden obtener uno gratis de forma automática. El precio extra y la verificación es lo que hace EV ... EV.

    
respondido por el Matthieu 17.01.2017 - 01:00
fuente
1

Semi-automatizado, EV instantáneo que cumpla con los criterios de emisión podría ser viable en jurisdicciones como Estonia, donde (i ) la población tiene tarjetas inteligentes y es capaz de hacer firmas digitales con ellas, y (ii) hay (probablemente) una máquina Registros legales legales legibles que, en principio, deberían saber quién está autorizado para hacer firmas en nombre de una organización.

En teoría, la única intervención requerida, al menos para la renovación, sería que el representante del registrador del dominio ingrese su PIN en un lector de tarjetas inteligentes, con la tarjeta insertada, para firmar la autorización de renovación.

    
respondido por el sampablokuper 17.01.2017 - 02:05
fuente
1

En general, los certificados de EV o los certificados de validación extendida apuntan a una validación completa del solicitante y el sitio al que se confía la confianza. Al hacer este proceso automatizado, se pierde el valor de la validación extendida.

En general, cert y validación es para todos. Pero esto no justifica realmente la prueba de identidad o la validez de la organización. Emitir EV no solo verifica que el solicitante sea el propietario del dominio, sino que también verifique la identidad física y, por lo tanto, el proceso de registro y registro es más riguroso e implica directamente que la confianza que aportan los EV en la mesa es generalmente muy alta. y si se automatiza pierde un valor significativo.

Por el contrario, con el aumento de los problemas de seguridad cibernética y los principales ataques debidos a las secuencias de cifrado del fin de semana, es aún más importante asegurarse de que tales medidas de confianza sean más difíciles de obtener y difíciles de romper, lo que puede suceder con estricta vigilancia. Seguimiento y registro. El Organismo de Certificación y el Foro de Navegadores han introducido y seguido varios conceptos para asegurarse de que el proceso de emisión del certificado sea examinado y auditado por varias agencias.

    
respondido por el D3X 17.01.2017 - 05:31
fuente

Lea otras preguntas en las etiquetas