Résumé

  • L’IETF examine jusqu’au 10 novembre un projet ACME qui attribue un nom DNS de validation distinct à chaque compte utilisé pour un même domaine.
  • Le dispositif permettrait à plusieurs régions, fournisseurs de cloud ou systèmes en transition de demander leurs certificats en parallèle.

Une migration informatique peut se résumer à une phrase peu élégante : « Gardons l’ancien système allumé encore un mois. » Il lui faut alors renouveler ses certificats, tandis que son remplaçant réclame les siens. Le mécanisme dns-01 de la norme ACME actuelle, RFC 8555, place la réponse sous _acme-challenge. Deux équipes qui veulent déléguer séparément ce même nom par CNAME se retrouvent devant une seule sonnette.

Le projet du groupe ACME installe une étiquette supplémentaire devant ce nom. Pour dns-account-01, elle est calculée à partir de l’URL du compte ACME. Chaque compte obtient ainsi un nom de validation distinct. Le serveur ACME lit l’identifiant du compte dans la requête signée, reconstitue le nom attendu, puis cherche à cette adresse le bon condensat TXT pour le défi en cours.

La recette n’est pas laissée à l’inspiration de l’installateur : SHA-256 de l’URL complète du compte, dix premiers octets, encodage Base32. L’étiquette dépend de l’URL et reste donc stable lors d’une rotation ordinaire de la clé du compte. La valeur TXT, elle, répond au jeton frais et à la clé utilisée pour le défi. L’adresse de rendez-vous dure ; la réponse change.

On comprend l’intérêt pour deux centres de données, deux CDN ou une bascule entre clouds. Chacun peut administrer sa voie sans modifier au dernier moment celle du voisin. Mais le propriétaire du domaine doit savoir qui a reçu chacune de ces voies. Donner à un ancien prestataire son propre nom de validation sans inscrire une date de retrait reviendrait à lui laisser la sonnette après avoir rendu les clés du bureau.

La dépendance la plus discrète est l’URL du compte. Un changement de nom d’hôte, de chemin, de protocole ou de port côté serveur peut changer l’étiquette déjà configurée dans le DNS. Le texte recommande de préserver les identifiants et, si une migration les modifie, de continuer à accepter les anciennes URL. Il demande aussi aux clients de retirer les valeurs TXT une fois le défi terminé. Voilà des décisions d’exploitation qui méritent un propriétaire nommé.

La fiche du Datatracker date la version -04 du 27 octobre et clôt la consultation le 10 novembre. Le texte demande l’inscription future de dns-account-01 au registre IANA des méthodes ACME. Pour l’heure, la nouvelle sonnette est soumise à l’examen public.