Let's Encrypt กำลังเตรียมออกใบรับรอง SSL/TLS โดยตรงสำหรับที่อยู่ IP ซึ่งถือเป็นการเปลี่ยนแปลงที่สำคัญในการแจกจ่ายใบรับรองความปลอดภัยเว็บ ใบรับรองเหล่านี้จะมีให้ใช้งานในตอนแรกเฉพาะภายใต้โปรไฟล์ shortlived ที่มีอายุการใช้งาน 6 วันเท่านั้น แม้ว่าองค์กรจะยังไม่ได้ประกาศกำหนดการเปิดตัวสู่สาธารณะ
การพัฒนานี้ได้จุดประกายการถกเถียงอย่างเข้มข้นในชุมชนเทคโนโลยีเกี่ยวกับทั้งประโยชน์ที่อาจเกิดขึ้นและความเสี่ยงด้านความปลอดภัยของใบรับรองที่ใช้ IP ซึ่งแตกต่างจากใบรับรองแบบดั้งเดิมที่ใช้โดเมน ใบรับรอง IP จะช่วยให้เซิร์ฟเวอร์สามารถสร้างการเชื่อมต่อที่ปลอดภัยได้โดยไม่จำเป็นต้องใช้ชื่อโดเมน
ข้อกำหนดของใบรับรอง:
- ระยะเวลาการใช้งาน: 6 วัน (เฉพาะโปรไฟล์อายุสั้นเท่านั้น)
- วิธีการตรวจสอบ: HTTP และ TLS-ALPN challenges (ไม่มี DNS challenge)
- ประเภทใบรับรอง: X.509 พร้อมที่อยู่ IP ในฟิลด์ Subject Alternative Name (SAN)
- การรองรับ IP: ทั้งที่อยู่ IPv4 และ IPv6
- ความพร้อมใช้งาน: เฉพาะที่อยู่ IP สาธารณะเท่านั้น (ไม่รองรับช่วง private/RFC1918)
การเพิ่มความเป็นส่วนตัวผ่าน Encrypted Client Hello
หนึ่งในกรณีการใช้งานที่น่าสนใจที่สุดคือการใช้งานร่วมกับ Encrypted Client Hello (ECH) ซึ่งเดิมเรียกว่า Encrypted Server Name Indication (ESNI) ปัจจุบันฟีเจอร์ความเป็นส่วนตัวนี้ให้ประโยชน์หลักแก่บริการพร็อกซีขนาดใหญ่อย่าง Cloudflare ที่สามารถแชร์ใบรับรองข้ามหลายโดเมนได้ ด้วยใบรับรอง IP เซิร์ฟเวอร์แต่ละตัวสามารถเข้าร่วมใน ECH ได้ ซึ่งอาจช่วยซ่อนเว็บไซต์เฉพาะที่ผู้ใช้กำลังเยี่ยมชมจากผู้สังเกตการณ์เครือข่าย
การเพิ่มความเป็นส่วนตัวทำงานโดยการสร้างการเชื่อมต่อที่ปลอดภัยไปยังที่อยู่ IP โดยใช้ใบรับรองของมันก่อน จากนั้นจึงส่งชื่อโดเมนจริงในรูปแบบที่เข้ารหัส วิธีนี้ป้องกันการเฝ้าระวังเครือข่ายจากการระบุเว็บไซต์ที่ผู้ใช้เข้าถึงได้อย่างง่ายดาย แม้ว่าการสอบถาม DNS จะยังคงต้องการการป้องกันเพิ่มเติมผ่านเทคโนโลยี DNS-over-HTTPS หรือคล้ายกัน
ECH (Encrypted Client Hello): โปรโตคอลที่เข้ารหัสชื่อเซิร์ฟเวอร์ระหว่างการจับมือ TLS เริ่มต้น เพื่อป้องกันผู้สังเกตการณ์เครือข่ายจากการเห็นเว็บไซต์เฉพาะที่กำลังเข้าถึง
ข้อกังวลด้านความปลอดภัยเกี่ยวกับการใช้ที่อยู่ IP ซ้ำ
ชุมชนเทคโนโลยีได้แสดงข้อกังวลที่สำคัญเกี่ยวกับใบรับรองที่อยู่ IP โดยเฉพาะเกี่ยวกับความเร็วในการกำหนดที่อยู่ IP ใหม่ของผู้ให้บริการคลาวด์และ ISP แตกต่างจากชื่อโดเมนที่มักจะอยู่ภายใต้การควบคุมที่สม่ำเสมอ ที่อยู่ IP สามารถถูกกำหนดใหม่ให้กับลูกค้าต่างๆ ภายในไม่กี่วันหรือแม้แต่ไม่กี่ชั่วโมง
ดังนั้นหน่วยงานที่อยู่ทั้งหมด (เช่น ISP และผู้ให้บริการคลาวด์) เห็นด้วยแล้วใช่ไหม พวกเขาบางครั้งหมุนเวียน IP ด้วยความเร็วสูง เร็วกว่า 6 วันอย่างน้อย
การหมุนเวียนที่รวดเร็วนี้สร้างปัญหาความปลอดภัยที่อาจเกิดขึ้น โดยใบรับรองที่ออกให้กับที่อยู่ IP ของผู้ใช้คนหนึ่งอาจถูกสืบทอดโดยผู้ใช้คนต่อไปที่ได้รับการกำหนดที่อยู่เดียวกัน อย่างไรก็ตาม กระบวนการตรวจสอบต้องการการพิสูจน์การควบคุมที่อยู่ IP ผ่านการท้าทาย HTTP หรือ TLS-ALPN คล้ายกับวิธีการตรวจสอบโดเมนในปัจจุบัน
TLS-ALPN: วิธีการตรวจสอบใบรับรองที่พิสูจน์การควบคุมเซิร์ฟเวอร์โดยการตอบสนองต่อการท้าทายเข้ารหัสเฉพาะ
การใช้งานจริงนอกเหนือจากความเป็นส่วนตัว
นอกจากการเพิ่มความเป็นส่วนตัวแล้ว ใบรับรอง IP ยังสามารถแก้ปัญหาจริงหลายประการในโครงสร้างพื้นฐานเครือข่าย ผู้ดูแลระบบมักจัดการบริการภายใน แดชบอร์ดการตรวจสอบ และอุปกรณ์เครือข่ายที่ไม่มีชื่อโดเมนที่เกี่ยวข้อง ปัจจุบันสิ่งเหล่านี้ต้องการใบรับรองที่ลงนามด้วยตนเองซึ่งจะทำให้เกิดคำเตือนในเบราว์เซอร์หรือการตั้งค่าผู้ออกใบรับรองภายในที่ซับซ้อน
ใบรับรองเหล่านี้ยังสามารถให้ประโยชน์แก่บริการซิงโครไนซ์เวลาที่ใช้ Network Time Security (NTS) ซึ่งปัจจุบันพึ่งพาการแก้ไข DNS หาก DNS บริการล้มเหลวหรือมีการตั้งค่าเวลาที่ไม่ถูกต้อง ใบรับรอง IP สามารถให้เส้นทางทางเลือกสำหรับการสร้างแหล่งเวลาที่เชื่อถือได้โดยไม่มีการพึ่งพาแบบวงกลม
อุปกรณ์เครือข่ายอย่างเราเตอร์ สวิตช์ และอุปกรณ์อุตสาหกรรมมักเปิดเผยอินเทอร์เฟซเว็บผ่านที่อยู่ IP เท่านั้น แม้ว่าสิ่งเหล่านี้จะใช้ช่วง IP ส่วนตัวที่ไม่มีคุณสมบัติสำหรับใบรับรองสาธารณะ แต่แนวทางนี้อาจส่งเสริมแนวปฏิบัติด้านความปลอดภัยที่ดีขึ้นในสภาพแวดล้อมองค์กร
กรณีการใช้งานหลักที่ระบุ:
- การรองรับ Encrypted Client Hello (ECH) สำหรับเซิร์ฟเวอร์แต่ละตัว
- อุปกรณ์เครือข่ายและแดชบอร์ดการตรวจสอบที่ไม่มีชื่อโดเมน
- บริการ Network Time Security (NTS) ที่ไม่ขึ้นกับ DNS
- สภาพแวดล้อมการพัฒนาและทดสอบ
- การเชื่อมต่อที่ปลอดภัยโดยไม่ขึ้นกับ DNS
- การรวมระบบเก่าที่การตั้งค่าโดเมนไม่เหมาะสม
การใช้งานทางเทคนิคและการตรวจสอบ
Let's Encrypt จะใช้วิธีการตรวจสอบเดียวกันที่ใช้สำหรับใบรับรองโดเมนในปัจจุบัน โดยต้องการให้ผู้สมัครพิสูจน์การควบคุมที่อยู่ IP ผ่านการท้าทายบนเว็บ ใบรับรองจะรวมที่อยู่ IP ในฟิลด์ Subject Alternative Name (SAN) ตามมาตรฐานใบรับรอง X.509 ที่มีอยู่
อายุการใช้งาน 6 วันสะท้อนถึงลักษณะไดนามิกของการกำหนดที่อยู่ IP และช่วยลดช่วงเวลาสำหรับการใช้งานในทางที่ผิด อายุการใช้งานที่สั้นกว่านี้ยังช่วยลดผลกระทบหากที่อยู่ IP ถูกกำหนดใหม่ให้กับผู้ใช้อื่น แม้ว่าจะต้องการการต่ออายุใบรับรองบ่อยกว่าเมื่อเปรียบเทียบกับใบรับรองมาตรฐาน 90 วัน
SAN (Subject Alternative Name): ส่วนขยายใบรับรองที่อนุญาตให้หลายตัวตน (โดเมน ที่อยู่ IP ฯลฯ) เชื่อมโยงกับใบรับรองเดียว
การต่อต้านของอุตสาหกรรมและแนวทางทางเลือก
ไม่ใช่ทุกคนในชุมชนเทคโนโลยีที่สนับสนุนการพัฒนานี้ นักวิจารณ์โต้แย้งว่าใบรับรอง IP ส่งเสริมแนวปฏิบัติการออกแบบเครือข่ายที่ไม่ดีและสร้างความซับซ้อนที่ไม่จำเป็นในระบบตรวจสอบใบรับรอง พวกเขาแนะนำว่าการกำหนดค่า DNS ที่เหมาะสมหรือระบบระบุตัวตนทางเลือกจะเป็นวิธีแก้ปัญหาที่เหมาะสมกว่า
บางคนโต้แย้งว่าฟีเจอร์นี้ให้บริการหลักสำหรับกรณีขอบที่สามารถแก้ไขได้ดีกว่าผ่านเทคโนโลยีที่มีอยู่ การถกเถียงสะท้อนความตึงเครียดที่กว้างขึ้นระหว่างโซลูชันที่ใช้งานได้จริงสำหรับความต้องการโครงสร้างพื้นฐานปัจจุบันและแนวทางในอุดมคติที่จะต้องการการเปลี่ยนแปลงพื้นฐานมากขึ้นในวิธีการออกแบบและจัดการเครือข่าย
การแนะนำใบรับรอง IP แสดงถึงความพยายามอย่างต่อเนื่องของ Let's Encrypt ในการทำให้การเชื่อมต่อที่ปลอดภัยเข้าถึงได้มากขึ้น แม้ว่าผลกระทบสุดท้ายจะขึ้นอยู่กับว่าฟีเจอร์นี้จะได้รับการยอมรับอย่างกว้างขวางเพียงใดและข้อกังวลด้านความปลอดภัยจะพิสูจน์ให้เห็นความสำคัญในทางปฏิบัติหรือไม่