Por Becky Bracken | Threatpost
A autoridade certificadora Let’s Encrypt se prepara para os ‘piores cenários’
Proteção contra violações
Josh Aas disse em um post recente sobre a atualização que o serviço automatizado da Let’s Encrypt emite cerca de 2 milhões de certificados todos os dias. Mas, no caso de uma violação em grande escala, pode ser necessário substituir todos de uma vez.
Aas explicou que o bug CAA de março passado afetou apenas 2,6% de todos os certificados ativos do Let’s Encrypt e, embora seja prejudicial, poderia ter sido muito pior.
Bug no código da autoridade de certificação Let’s Encrypt [URGENTE !!!]
Autorização da Autoridade Certificadora CAA reforça a cadeia de confiança da internet mundial
“E se esse bug tivesse afetado todos os nossos certificados?” Aas escreveu. “São mais de 150 milhões de certificados cobrindo mais de 240 milhões de domínios. E se também fosse um bug mais sério, exigindo que revogássemos e substituíssemos todos os certificados em 24 horas? Esse é o pior cenário para o qual precisamos estar preparados”.
A atualização do Let’s Encrypt foi financiada por doações corporativas de empresas como Facebook, Amazon Web Services, Mozilla, GitHub, Red Hat e outras, explicou o grupo. Os hardwares foram cortesias da Cisco, Thales e Fortinet.
Aas explicou que os esforços para melhorar o Let’s Encrypt se concentraram em cinco áreas específicas: desempenho do banco de dados, velocidade da rede interna, desempenho do módulo de assinatura criptográfica (HSM) e largura de banda.
Vamos criptografar a RAM atualizada
O banco de dados, disse ele, está “no centro do serviço que oferecemos”. O banco de dados Let’s Encrypt mantém registro de todos os certificados e contas e, explicou Aas, é “pesado para gravações com muitas leituras também”.
Os servidores anteriores do Let’s Encrypt não poderiam ter lidado com uma reemissão massiva em um único dia, disse ele, então foram substituídos por servidores de banco de dados Dell de nova geração com “CPUs dual AMD EPYC 7542, 64 núcleos físicos no total”, anúncio disse.
“Essas máquinas têm 2 TB de RAM mais rápida. CPUs muito mais rápidas e com o dobro de memória é ótimo, mas o realmente interessante sobre essas máquinas é que as CPUs EPYC fornecem 128 pistas PCIe4 cada ”, explicou Aas.
“Isso significa que podemos incluir 24 drives NVME de 6,4 TB para um desempenho de E / S massivo. Não há RAID de hardware viável para NVME, então mudamos para ZFS para fornecer a proteção de dados de que precisamos. ”
Vamos criptografar agora em execução em rede de fibra 25G
A Let’s Encrypt também atualizou sua infraestrutura de rede de cobre 1G.
“Originalmente, pensamos em atualizar para 10G, mas aprendemos que atualizar para fibra 25G não era muito mais caro, disse Aas. “A Cisco acabou doando generosamente a maioria dos switches e equipamentos de que precisávamos para essa atualização e, depois de substituir muitas placas de interface de rede de servidor, Let’s Encrypt agora está sendo executado em uma rede de fibra 25G!”
Let’s Encrypt obtém capacidade criptográfica de HSM
Em um dia, o Let’s Encrypt precisaria reemitir 200 milhões de certificados, ele exigiria que seu par de Módulos de Segurança de Hardware (HSMs) Luna em cada data center executasse pelo menos 600 milhões de operações de assinatura criptográfica em 24 horas – incluindo um protocolo de status de certificado online (OSCP) resposta para revogação de assinatura; uma assinatura de certificado para substituições; e uma assinatura de resposta para a substituição – para cada certificado.
Aas disse que os HSMs anteriores que o Let’s Encrypt estava usando só podiam lidar com cerca de 190 milhões de assinaturas em 24 horas, no máximo.
“Isso não é suficiente”, escreveu ele. A Thales doou novos HSMs, dando à Let’s Encrypt a capacidade de processar 864 milhões de operações de assinatura por dia, apenas a partir de um data center.
Vamos criptografar para aumentar a largura de banda, API
A CA também aumentou sua largura de banda para aumentar sua capacidade de sincronizar e analisar seus bancos de dados em data centers e na nuvem, de acordo com o anúncio. Ele também aprimorou sua notificação para renovação antecipada com uma extensão de API.
O Let’s Encrypt usa o protocolo ACME para verificar se os usuários controlam um determinado nome de domínio e para emitir um certificado para eles. Para obter um certificado Let’s Encrypt, os usuários precisam escolher um software cliente de terceiros para usar.
“Para que todos esses certificados sejam substituídos, precisamos de uma maneira eficiente e automatizada de notificar os clientes ACME de que eles devem realizar a renovação antecipada”, escreveu Aas do Let’s Encrypt.
“Normalmente os clientes ACME renovam seus certificados quando resta um terço de sua vida útil e não entram em contato com nossos servidores de outra forma. Nós publicou um projeto de extensão para ACME no ano passado que descreve uma maneira para os clientes a servidores ACME regularmente sondagem para saber mais sobre eventos early-renovação. Pretendemos aperfeiçoar esse rascunho, implementar e colaborar com clientes e grandes integradores para implementá-lo no lado do cliente. ”
Sua empresa de pequeno a médio porte é um alvo fácil para invasores?
Threatpost WEBINAR:Save your spot for “15 Cybersecurity Gaffes SMBs Make,” a FREE Threatpost webinar on Feb. 24 at 2 p.m. ET. Cybercriminals count on you making these mistakes, but our experts will help you lock down your small- to mid-sized business like it was a Fortune 100. Register NOW for this LIVEwebinar on Wed., Feb. 24.
Fonte: Threatpost
Você pode colaborar com a tradução enviando sugestões para [redacao@localhost]
Acesse aqui e saiba tudo sobre TLS, o protocolo de segurança que garante o sigilo das informações e identifica empresas, dispositivos e objetos no mundo eletrônico.
- Orca Security Aposta no Brasil: Entrevista Exclusiva com Executivo Revela Estratégia e Visão de Futuro
- DigiCert revela previsões de segurança digital para 2025
- Zetta lança cartilha com dicas de segurança que ajudam o consumidor a se prevenir contra golpes
- Tecnologia inteligente busca reduzir acidentes por excesso de peso nas rodovias
- Kaspersky eleva padrões com renovação da auditoria SOC 2, reforçando a segurança de dados
