27. února 2020 vydal bezplatný certifikační středisko Let’s Encrypt miliontý certifikát.

V slavnostní tiskové zprávě zástupci projektu vzpomínají, že předchozí výročí 100 milionů vydaných certifikátů oslavovali v červnu 2017. Tehdy podíl HTTPS provozu na internetu činil 58 % (v USA 64 %). Za dva a půl roku se tato čísla výrazně zvýšila: „Dnes 81 % načítaných stránek po celém světě používá HTTPS, a ve Spojených státech jsme na úrovni 91 %! – radují se kluci z projektu. – Neuvěřitelné dosažení. To je mnohem vyšší úroveň soukromí a bezpečnosti pro všechny.“

Let’s Encrypt sehrál velmi důležitou roli v tom, aby se certifikáty HTTPS staly uživatelským standardem a spolehlivé šifrování provozu – zcela normální praxí na internetu.

Beta testování inovativního certifikačního střediska Let’s Encrypt začalo v prosinci 2015. Jedinečnost nového centra spočívá v tom, že proces vydávání certifikátů byl zpočátku zcela automatizovaný.

Automatická konfigurace HTTPS na serveru probíhá ve dvou krocích. V prvním kroku agent informuje certifikační středisko o právech správce serveru na doménové jméno. Například ověření může zahrnovat vytvoření určitého subdomény nebo umístění v doméně HTTP zdroje se specifickým URI.

Let’s Encrypt identifikuje webový server s běžícím agentem pomocí veřejného klíče. Veřejné a soukromé klíče jsou generovány agentem před prvním připojením k certifikačnímu středisku. Během automatické kontroly agent provádí řadu testů: například podepisuje veřejným klíčem získané jednorázové heslo a předkládá HTTP zdroj se specifickým URI. Pokud je digitální podpis správný a všechny testy jsou splněny - agentovi jsou udělována práva na správu certifikátů pro doménu.

Ve druhém kroku může agent žádat, aktualizovat a odvolávat certifikáty. Pro automatické vydání certifikátu se používá autentifikační protokol třídy "challenge-response" (výzva-odpověď) nazvaný Automated Certificate Management Environment (ACME). Všechny manipulace s certifikátem se provádějí bez zastavení webového serveru pomocí ACME klienta. Certbot. Je snadný na používání, funguje na většině operačních systémů a je skvěle zdokumentován. Existuje expertní režim s rozšířenou sadou nastavení. Kromě Certbotu existuje mnoho dalších ACME klientů.

Důležitá role Let’s Encrypt

Let’s Encrypt provedl skutečnou revoluci na trhu, kde dříve dominovaly komerční certifikační autority. Tyto dnes prakticky ukončily vydávání DV certifikátů (certifikáty s ověřením domény, Domain Validation), ačkoli nadále prodávají certifikáty s ověřením organizace (Organization Validation, OV) a certifikáty vysoké důvěryhodnosti (Extended Validation, EV), které Let’s Encrypt nevydává, protože je nelze automatizovat. Nicméně, to je specializovaný produkt a na masovém trhu bezkonkurenčně dominují bezplatné certifikáty Let’s Encrypt.

Let’s Encrypt učinil automatické obnovení certifikátů standardem. I přes krátkou životnost (90 dní) automatizovaný proces odstraňuje "lidský faktor", který tradičně představuje hlavní zranitelnost v bezpečnosti. Administrátoři domén často jednoduše zapomínají obnovit certifikáty, což způsobuje, že služby přestávají fungovat. Poslední takový incident se stal s Microsoft Teams. 3. února 2020 tato platforma pro spolupráci šla offline kvůli propadlému certifikátu.

Automatická výměna certifikátů prostřednictvím protokolu ACME vylučuje možnost podobných incidentů.

I když projekt Let’s Encrypt obsluhuje polovinu internetu, ve fyzickém světě je to malá nezisková organizace: „Za poslední dva a půl roku naše organizace vyrostla, ale velmi málo! – píší. – V červnu 2017 jsme obsluhovali přibližně 46 mil. webových stránek s 11 zaměstnanci a ročním rozpočtem 2,61 mil. dolarů. Dnes obsluhujeme téměř 192 mil. webových stránek s 13 zaměstnanci a ročním rozpočtem přibližně 3,35 mil. dolarů. To znamená, že obsluhujeme více než čtyřikrát více webů pouze se dvěma dalšími zaměstnanci a 28% zvýšením rozpočtu.”

Podpora projektu probíhá prostřednictvím darů a sponzoringu.

V současnosti se HTTPS stal de facto standardem na internetu. Od loňského roku hlavní prohlížeče varují uživatele před nebezpečím připojení k webům, které nešifrují provoz pomocí HTTPS. Na této změně bezpečnostní krajiny má velký podíl Let’s Encrypt.

Kromě toho Let’s Encrypt doslova oživil infrastrukturu veřejných XMPP serverů. Nyní Jabber funguje s bezpečným šifrováním jak na úrovni klient-server, tak server-server, a naprostá většina certifikátů byla vydána Let’s Encrypt.

„Jako komunita jsme udělali neuvěřitelné věci, abychom chránili lidi na internetu,“ je uvedeno v tiskové zprávě. „Vydání jednoho miliardy certifikátů je potvrzením veškerého pokroku, kterého jsme jako komunita dosáhli.“

Zdroj: habr.com