Op 15 maart 2025 heeft SSL.com MPIC geïmplementeerd zoals voorgeschreven door de Server Certificate Working Group van het CA/Browser Forum (SC-067), met gedeeltelijke handhaving. Het doel van MPIC is de beveiliging en betrouwbaarheid van digitale certificaten te verbeteren door validatie van domeininformatie en verificatie van CA-autorisatie (CAA)-records vanuit meerdere internetnetwerkperspectieven te vereisen.
Op september 2, 2025SSL.com zal de MPIC-handhaving volledig implementeren en certificaten worden niet langer uitgegeven als de externe validatiecontroles de resultaten van de primaire validatie niet kunnen bevestigen. De MPIC-update zal sectorbreed van kracht worden. September 15, 2025.
Wat is MPIC?
MPIC vereist dat certificeringsinstanties (CA's) domeinvalidatie en CAA-controles uitvoeren vanaf meerdere geografisch en topografisch onderscheidende netwerkpunten. Deze extra beveiligingslaag helpt potentiële aanvallen te detecteren en te voorkomen waarbij een aanvaller DNS-reacties (Domain Name System), BGP-hacking (Border Gateway Protocol) of andere netwerkconfiguraties manipuleert om frauduleus certificaten te verkrijgen.
Quorumvereisten
Het CA/B Forum stelt het aantal positieve reacties op een validatiecontrole vast als quorum. De eisen beginnen bij één positieve reactie en lopen vervolgens op om ervoor te zorgen dat het aantal negatieve reacties nooit groter is dan het aantal positieve reacties.
Voor de meest recente informatie over quorumvereisten, bezoek De basisvereisten van het CA/Browser Forum, met name Ballot SC-067.
Impact voor klanten van openbare certificaatautoriteiten
Klanten van openbare CA's hoeven geen wijzigingen aan te brengen om zich voor te bereiden op deze wijziging. Klanten kunnen deze wijzigingen opmerken:
- verbeterde beveiliging: De kans op ongeautoriseerde certificaatuitgifte wordt verkleind.
- Mogelijke validatievertragingen:De extra controles kunnen voor lichte vertragingen zorgen.
- Verhoogde transparantie:Details over het validatieproces worden verstrekt ter beoordeling en audit.
- Geen actie nodig: Over het algemeen is er geen actie vereist van de kant van de klant. Klanten moeten ervoor zorgen dat hun DNS-configuraties gezond en toegankelijk zijn vanaf verschillende netwerklocaties om efficiënte validatie mogelijk te maken.
Problemen met veelvoorkomende MPIC-validatieproblemen oplossen
Hoewel de meeste klanten geen problemen ondervinden bij de implementatie van MPIC, kunnen sommige specifieke netwerkconfiguraties validatieproblemen veroorzaken. Hier zijn snelle oplossingen voor de meest voorkomende problemen:
Webserver achter firewall: Als uw webserver zich achter een firewall of load balancer bevindt die verbindingen vanuit externe perspectieven blokkeert, moet u de IP-bereiken die door certificeringsinstanties worden gebruikt voor validatie, op de whitelist zetten. Houd er echter rekening mee dat de meeste grote webbrowsers eerder hebben aangegeven dat servers achter een firewall geen openbaar vertrouwde certificaten mogen gebruiken, omdat de CA / Browser Forum TLS Basisvereisten zijn alleen bedoeld voor certificaten die worden gebruikt voor de authenticatie van servers die toegankelijk zijn via internet.
Neem contact op met uw certificaatbeheerder voor de actuele lijst met validatie-IP-adressen en configureer uw firewallregels dienovereenkomstig. U kunt ook overwegen om poort 80 tijdelijk te openen tijdens het validatieproces, indien uw beveiligingsbeleid dit toestaat. Het is raadzaam om over te schakelen naar een privé- PKI als uw beleid niet toestaat dat poort 80/433 toegankelijk is voor het openbare internet.
Beperkte toegang tot naamservers: Sommige DNS-providers of interne nameservers zijn geconfigureerd om query's van specifieke geografische regio's of IP-bereiken te weigeren. Dit kan ertoe leiden dat het validatieproces mislukt wanneer onze externe perspectieven proberen uw domeineigendom te verifiëren.
Werk samen met uw DNS-beheerder om ervoor te zorgen dat uw gezaghebbende naamservers kunnen reageren op vragen van een wereldwijd publiek. U kunt er ook voor kiezen om een DNS-provider te gebruiken die wereldwijde toegankelijkheid ondersteunt.
Geoblocking en CDN-problemen: Content Delivery Networks (CDN's) en geoblocking-services verstoren soms multi-perspectiefvalidatie. Als u deze services gebruikt, maak dan uitzonderingen voor certificaatvalidatieverkeer. Uw CDN-provider kan er ook voor zorgen dat validatie-eindpunten toegankelijk blijven vanuit alle netwerkperspectieven.
Voorbereiding op MPIC: aanbevolen procedures voor certificaatbeheerders
Als certificaatbeheerder of PKI Als beheerder zorgt u er nu voor dat proactieve stappen een soepele overgang garanderen zodra MPIC volledig van kracht wordt. Zo bereidt u uw infrastructuur voor:
Controleer uw DNS-infrastructuurTest uw domeinresolutie vanaf meerdere geografische locaties met behulp van tools zoals DNS-checkerwebsites. Zorg ervoor dat uw DNS-records de juiste TTL-waarden hebben die een balans bieden tussen prestaties en de flexibiliteit die nodig is tijdens certificaatverlengingen.
Documenteer uw netwerkarchitectuur: Maak een duidelijk overzicht van uw netwerkinfrastructuur, inclusief firewalls, load balancers en eventuele geografische beperkingen. Deel deze documentatie met uw certificeringsinstantie (CA) om eventuele validatieproblemen tijdens de overgangsperiode op te lossen.
Monitoring en waarschuwingen instellen: Stel monitoring in voor uw certificaatvalidatie-eindpunten en DNS-infrastructuur. Vroegtijdige detectie van connectiviteitsproblemen helpt u problemen op te lossen voordat ze het validatieproces beïnvloeden. Overweeg de implementatie van geautomatiseerde statuscontroles die het multi-perspectiefvalidatieproces simuleren.
Plan voor langere validatietijden: Houd rekening met extra tijd in uw certificaatvernieuwingsprocessen om rekening te houden met de multi-perspectiefvalidatiecontroles. Werk uw interne procedures en eventuele geautomatiseerde tools voor certificaatbeheer bij om mogelijke vertragingen op te vangen zonder serviceonderbrekingen te veroorzaken.
Waarom is MPIC-implementatie noodzakelijk?
MPIC pakt kritieke beveiligingskwetsbaarheden aan die aanvallers hebben misbruikt om ongeautoriseerde certificaten te verkrijgen. Aanvallers hebben met succes DNS-reacties of BGP-routes in gelokaliseerde regio's gemanipuleerd, waardoor certificeringsinstanties effectief certificaten uitgeven voor domeinen die ze niet beheren. Door validatie vanuit meerdere netwerkperspectieven te vereisen, maakt MPIC deze gelokaliseerde aanvallen aanzienlijk moeilijker uit te voeren, omdat een aanvaller meerdere, geografisch verspreide netwerklocaties tegelijkertijd moet aanvallen.
Naast het beperken van DNS- en BGP-aanvallen, vertegenwoordigt MPIC een bredere inzet om het publieke vertrouwen in het certificaatecosysteem te versterken. Wanneer certificaatautoriteiten multi-perspectief-uitgiftebevestiging hanteren, tonen ze aan dat ze hogere beveiligingsnormen naleven die zowel website-eigenaren als eindgebruikers beschermen, en zo het vertrouwen in digitale certificaten versterken.
Wilt u meer informatie of heeft u nog vragen over MPIC?
Voor meer informatie kunt u contact opnemen met onze ondersteuningsteam Of neem hieronder contact met ons op:
