На 27 февруари 2020 г. безплатният сертификационен център Let's Encrypt издаде милиардния сертификат.

В празнично прессъобщение представителите на проекта споменават, че предишният юбилей от 100 млн. издадени сертификата е отбелязан през юни 2017 година. Тогава делът на HTTPS трафика в интернет беше 58% (в САЩ - 64%). За две години и половина показателите значително нараснаха: „Днес 81% от зарежданите страници по целия свят използват HTTPS, а в Съединените щати стигнахме до 91%! — радват се момчетата от проекта. — Невероятно постижение. Това е много по-високо ниво на конфиденциалност и сигурност за всички“.

Let's Encrypt играе много важна роля в това сертификатите HTTPS да станат утилитарен стандарт, а надеждното криптиране на трафика — съвършена норма в интернет.

Бета тестването на иновативния сертификационен център Let's Encrypt започна през декември 2015 г. Уникалната особеност на новия център беше, че процесът на издаване на сертификати първоначално беше напълно автоматизиран.

Автоматичното настройване на HTTPS на сървъра става в два етапа. В първия етап агентът уведомява сертификационния център за правата на администратора на сървъра относно домейн името. Например, проверката може да включва създаването на определен поддомейн или инсталация на HTTP ресурс с конкретен URI в рамките на домейна.

Let's Encrypt идентифицира уеб сървъра с активен агент чрез открития ключ. Откритите и частните ключове се генерират от агента преди първото свързване със сертификационния център. По време на автоматичната проверка агентът извършва набор от тестове: например, подписва с открития ключ полученото еднократно парола и представя HTTP ресурс с конкретен URI. Ако цифровият подпис е валиден и всички тестове са преминати — агентът получава права за управление на сертификатите за домейна.

На втория етап агентът може да поиска, да обнови и да отзове сертификати. За автоматичното издаване на сертификат се използва протокол на аутентификация клас "challenge-response" (въпрос-отговор), наречен Automated Certificate Management Environment (ACME). Всички манипулации със сертификата се извършват без спиране на уеб сървъра с помощта на ACME клиента. Certbot. Лесен за използване, работи на повечето операционни системи и е отлично документиран. Има експертен режим с разширен набор от настройки. Освен Certbot, съществуват множество други ACME клиенти.

Важна роля на Let’s Encrypt

Let’s Encrypt доведе до истинска революция на пазара, където преди доминираха търговските удостоверителни центрове. Сега те практически излязоха от бизнеса с издаването на DV сертификати (сертификати с потвърждение на домейна, Domain Validation), въпреки че продължават да продават сертификати с потвърждение на организацията (Organization Validation, OV) и сертификати с висока надеждност (Extended Validation, EV), които Let’s Encrypt не издава, поради невъзможността за автоматизиране. Обаче това е нишов продукт, а на масовия пазар безразспорно доминират безплатните сертификати на Let’s Encrypt.

Let’s Encrypt направи автоматичното подновяване на сертификатите стандарт. Въпреки краткия им живот (90 дни), автоматичната процедура елиминира "човешкия фактор", който традиционно представлява основна уязвимост в сигурността. Администраторите на домейни често просто забравят да подновят сертификатите, поради което услугите спират да функционират. Последният такъв инцидент се случи с Microsoft Teams. На 3 февруари 2020 година тази услуга за сътрудничество излезе извън онлайн заради изтекъл сертификат.

Автоматичната замяна на сертификати чрез протокола ACME изключва възможността за подобни инциденти.

Въпреки че проектът Let’s Encrypt обслужва половината от интернет, в физическия свят това е малка неправителствена организация: "През последните две и половина години организацията ни се разрасна, но съвсем малко! - пишат те. - През юни 2017 г. обслужвахме около 46 милиона уебсайта с 11 служители на трудов договор и годишен бюджет от 2,61 милиона долара. Днес обслужваме почти 192 милиона уебсайта с 13 служители на трудов договор и годишен бюджет от около 3,35 милиона долара. Това означава, че обслужваме повече от четири пъти повече сайтове само с двама допълнителни служители и 28% увеличение на бюджета.

Подкрепата на проекта се осъществява чрез дарения и спонсорство.

В момента HTTPS се е утвърдил като де-факто стандарт в интернет. От миналата година основните браузъри предупреждават потребителите за опасностите от свързване с сайтове, които не криптират трафика чрез HTTPS. В това изменение на ландшафта на сигурността голяма заслуга има Let’s Encrypt.

В допълнение, Let’s Encrypt буквално възроди инфраструктурата на публичните XMPP сървъри. Сега Jabber функционира с надеждно криптиране както на ниво клиент-сървър, така и на ниво сървър-сървър, а абсолютното мнозинство от сертификатите са издадени от Let’s Encrypt.

„Като общност направихме невероятни неща, за да защитим хората в интернет“, се казва в прессъобщението. „Издаването на един милиард сертификата е потвърждение за напредъка, който постигнахме като общност.“

Източник: habr.com