27 февруари 2020 г. Да шифроваме безплатен сертифициращ орган издаде милиарден сертификат.

В тържествено прессъобщение представителите на проекта припомнят, че предишната годишнина от 100 милиона издадени сертификата беше отбелязана през юни 2017г. Тогава делът на HTTPS трафика в интернет беше 58% (в САЩ - 64%). За две години и половина цифрите са нараснали значително: „Днес 81% от заредените страници по света използват HTTPS, а в Съединените щати сме на 91%! - радват се момчетата от проекта. - Невероятно постижение. Това е много по-високо ниво на поверителност и сигурност за всички.“

Let's Encrypt изигра много важна роля за превръщането на HTTPS сертификатите в полезен стандарт, а силното криптиране на трафика се превърна в перфектна норма в Интернет.

Бета тестването на иновативния сертифициращ орган Let's Encrypt започна през декември 2015 г. Уникална характеристика на новия център е, че първоначално процесът на издаване на удостоверения е напълно автоматизиран.

Автоматичното конфигуриране на HTTPS на сървъра се извършва на два етапа. В първата стъпка агентът уведомява CA за администраторските права на сървъра върху името на домейна. Например валидирането може да включва създаване на конкретен поддомейн или инсталиране на HTTP ресурс с конкретен URI в домейн.

Let's Encrypt идентифицира уеб сървъра, изпълняващ агента, чрез неговия публичен ключ. Публичният и частният ключ се генерират от агента преди първото свързване към CA. По време на автоматичната проверка агентът извършва редица тестове: например подписва получената еднократна парола с публичен ключ и представя HTTP ресурс с конкретен URI. Ако цифровият подпис е правилен и всички тестове са преминали успешно, агентът получава правата да управлява сертификати за домейна.

Във втората стъпка агентът може да поиска, поднови и отмени сертификати. За автоматично издаване на сертификат се използва протокол за удостоверяване на клас предизвикателство-отговор (отговор на предизвикателство, отговор на предизвикателство), наречен Автоматизирана среда за управление на сертификати (ACME). Всички манипулации със сертификата се извършват без спиране на уеб сървъра с помощта на ACME клиента Certbot. Той е лесен за използване, работи на повечето операционни системи и е добре документиран. Има експертен режим с разширен набор от настройки. В допълнение към Certbot има много други клиенти на ACME.

Значението на Let's Encrypt

Let's Encrypt революционизира пазар, доминиран преди това от комерсиални CA. Вече почти са излезли от бизнеса със сертификати за DV (проверка на домейн), въпреки че продължават да продават сертификати за проверка на организация (OV) и разширено валидиране (EV), които Let's Encrypt не издава, защото не могат да бъдат автоматизирани. Това обаче е нишов продукт и безплатните сертификати Let's Encrypt царуват на масовия пазар.

Let's Encrypt направи стандарт за автоматично преиздаване на сертификати. Въпреки краткия им живот (90 дни), автоматичната процедура елиминира "човешкия фактор", който традиционно представлява основна уязвимост на сигурността. Администраторите на домейни често просто забравят да подновят сертификатите, причинявайки неуспех на услугите. Последният подобен инцидент се случи с Microsoft Teams. На 3 февруари 2020 г. тази услуга за сътрудничество беше офлайн поради изтекъл сертификат.

Автоматичната подмяна на сертификати с помощта на протокола ACME елиминира възможността от подобни инциденти.

Въпреки че проектът Let's Encrypt обслужва половината интернет, във физическия свят той е малка организация с нестопанска цел: „За тези две години и половина нашата организация се разрасна, но не много! те пишат. "През юни 2017 г. хоствахме приблизително 46 милиона уебсайта с 11 служители на пълен работен ден и годишен бюджет от $2,61 милиона. Днес управляваме близо 192 милиона уебсайта с 13 служители на пълен работен ден и годишен бюджет от приблизително $3,35 милиона. Това означава ние обслужваме над четири пъти повече сайтове само с двама допълнителни служители и 28 процента увеличение на бюджета.“

Проектът е подкрепен чрез дарения и спонсорство.

Досега HTTPS се е превърнал в де факто стандарт в интернет. От миналата година основните браузъри предупреждават потребителите за опасностите от свързване към сайтове, които не шифроват трафик през HTTPS. Let's Encrypt се приписва на такава промяна в ландшафта на сигурността.

На всичкото отгоре Let's Encrypt е буквално съживи публичната XMPP сървърна инфраструктура. Сега Jabber работи със силно криптиране както на ниво клиент-сървър, така и на ниво сървър-сървър и по-голямата част от сертификатите са издадени от Let's Encrypt.

„Като общност направихме невероятни неща, за да защитим хората онлайн“, гласи съобщение за пресата. „Издаването на един милиард сертификата е свидетелство за целия напредък, който сме постигнали като общност.“

Източник: www.habr.com