- jabber.ru と xmpp.ru サービスに対する man-in-the-middle（MitM）攻撃に関する記事で、ドイツ国家が主導したと推定されている
- ホスティング事業者である Hetzner と Linode の協力により攻撃が行われ、ドメイン検証証明書が無断で発行された
- こうした攻撃を検知する2つの方法として、Certificate Transparency ログの監視と、TLS サーバーで使用されている公開鍵を確認するためにサービスへ定期的に接続する方法がある
- しかし、これらの検知方法には、Certificate Transparency（CT）が任意であるという制約と、選択的 MitM が可能であるという問題がある
- 記事では、TLS 証明書の無断発行を防ぎ、特定の CA の特定アカウントのみがそのドメイン向け証明書を発行できるようにする ACME-CAA（RFC 8657）の導入を含む緩和策を提案している
- 記事は、より能力の高い国家レベルの敵対者が取り得る行動について論じ、現在の TLS インフラに存在するギャップを強調している
- サービス運営者への推奨事項には、ACME-CAA の導入、DNSSEC の導入、Cloudflare のようなサービスを避けること、CT ログ監視サービスへの登録、そして管轄仲裁を利用することが含まれる
- CA/ブラウザフォーラムへの推奨事項は、すべての証明書が CT ログに記録されることを義務付けること
- アプリケーションクライアントソフトウェアのベンダーへの推奨事項は、TLS 証明書に CT 証拠が存在することを強制するサポートを追加すること
- エンドユーザーには、サービスが侵害されたものと仮定し、エンドツーエンド暗号化技術を使用し、Tor 隠しサービスの利用を検討することが推奨されている
- CA には、ACME-CAA のサポートを提供し、常に証明書を CT に記録することが推奨されている
- 記事は、現在の「機密コンピューティング」技術はベンダーのゴールデンキーに依存しているため、完全には安全ではないと結論付けている
まだコメントはありません。