ЦС ТЦИ внедрил протокол ACME и начал публичное тестирование сервиса

Центр сертификации Технического центра Интернет (ЦС ТЦИ) внедрил поддержку протокола ACME для автоматизации выпуска TLS сертификатов и открыл публичное тестирование сервиса на отдельной инфраструктуре.

Новый сервис позволяет автоматически получать TLS сертификаты, включать выпуск в процессы CI/CD и панели управления и упорядочивать массовую работу с сертификатами для доменов и сервисов. Пользователи могут подключать распространённые ACME клиенты, такие как acme.sh, lego, certbot и другие совместимые инструменты. Сервис ориентируется на администраторов, DevOps инженеров, хостинг провайдеров и разработчиков, которые управляют распределённой инфраструктурой и большим числом сертификатов.

«ACME делает работу с сертификатами более современной и удобной: команды меньше времени тратят на ручные операции и больше – на развитие сервисов. По его словам, использование стандартного протокола и привычных клиентов упрощает интеграцию и снижает нагрузку на эксплуатацию», – отмечает генеральный директор ТЦИ Алексей Рогдев.

Публичное тестирование протокола ACME проходит на платформе ЦС ТЦИ с отдельным тестовым корневым сертификатом. Браузеры и операционные системы не добавляют его в доверенные хранилища, поэтому оконечные сертификаты подходят для проверки интеграций и сценариев автоматизации, но не для продуктивных публичных ресурсов.

ЦС ТЦИ приглашает администраторов, разработчиков, DevOps инженеров и хостинг провайдеров подключиться к тестированию и поделиться обратной связью. Команда планирует учесть результаты, уточнить технические требования и подготовить сервис ACME к промышленному запуску.

СПРАВОЧНО:

URL ACME:

https://acme.stage.tlscc.ru/directory

Поддерживает методы проверки: HTTP-01 и DNS-01

CAA:

stage.tlscc.ru

Сертификаты ЦС и списки отзыва:

http://ca.stage.tlscc.ru/list/

Поддерживается типовой ACME согласно RFC. Для работы подойдет любой корректно настроенный ACME-клиент (в том числе acme.sh, lego, acme-клиент НУЦ, certbot и др.). Для выполнения DCV через DNS авторитативные серверы имён должны полностью соответствовать спецификациям DNS и техническим требованиям ЦС TLS. Подробнее.

Пример вызова acme.sh:

./acme.sh -d mega.khaos.today --standalone --issue --server https://acme.stage.tlscc.ru/directory

На этапе публичного тестирования действуют следующие ограничения:

• Нет поддержки полноценного SAN: допускается только имя самой зоны и www;
• Нет поддержки CNAME при проверке DCV DNS: TXT-записи должны размещаться непосредственно в самой зоне с префиксом _acme-challenge;
• При отзыве сертификата необходимо указывать код причины отзыва.

Допустимые коды причины отзыва согласно RFC 5280:

• keyCompromise, код 1;
• superseded, код 4;
• cessationOfOperation, код 5.