Am 27. Februar 2020 gab die Zertifizierungsstelle Let’s Encrypt ihre milliardste Bescheinigung aus. Die milliardste Bescheinigung wurde ausgestellt..

In der festlichen Pressemitteilung erinnern sich die Projektverantwortlichen daran, dass das vorherige Jubiläum von 100 Millionen ausgestellten Zertifikaten im Juni 2017 gefeiert wurde. Damals lag der Anteil des HTTPS-Verkehrs im Internet bei 58 % (in den USA bei 64 %). In zweieinhalb Jahren sind diese Zahlen erheblich gestiegen: 'Heute nutzen 81 % der weltweit geladenen Seiten HTTPS, und in den Vereinigten Staaten liegen wir bei 91%! — freuen sich die Projektmitarbeiter. — Eine unglaubliche Errungenschaft. Das ist ein weitaus höheres Maß an Privatsphäre und Sicherheit für alle.'Let’s Encrypt hat eine sehr wichtige Rolle dabei gespielt, dass HTTPS-Zertifikate zum Standard wurden und die sichere Verschlüsselung von Datenverkehr zur vollkommenen Norm im Internet.

Die Beta-Tests des innovativen Zertifizierungszentrums Let’s Encrypt begannen im Dezember 2015. Ein einzigartiges Merkmal des neuen Zentrums war, dass der Zertifikatsausstellungsprozess von Anfang an vollständig automatisiert war.

Бета-тестирование инновационного центра сертификации Let’s Encrypt началось в декабре 2015 года. Уникальной особенностью нового центра стало то, что процесс выдачи сертификатов изначально был полностью автоматизирован.

Die automatische HTTPS-Konfiguration auf dem Server erfolgt in zwei Schritten. Im ersten Schritt informiert der Agent die Zertifizierungsstelle über die Administratorrechte des Servers für den Domainnamen. Beispielsweise kann die Überprüfung das Erstellen eines bestimmten Subdomains oder das Einrichten eines HTTP-Ressourcens innerhalb der Domain mit einer bestimmten URI umfassen.

Let’s Encrypt identifiziert den Webserver mit dem aktiven Agenten durch den öffentlichen Schlüssel. Der öffentliche und der private Schlüssel werden vom Agenten vor der ersten Verbindung zur Zertifizierungsstelle generiert. Während der automatischen Überprüfung führt der Agent eine Reihe von Tests durch: Zum Beispiel signiert er das erhaltene Einmalpasswort mit dem öffentlichen Schlüssel und präsentiert die HTTP-Ressource mit einer bestimmten URI. Wenn die digitale Unterschrift korrekt ist und alle Tests bestanden sind, erhält der Agent die Rechte zur Verwaltung der Zertifikate für die Domain.

In der zweiten Phase kann der Agent Zertifikate anfordern, aktualisieren und widerrufen. Für die automatisierte Ausstellung von Zertifikaten kommt das Authentifizierungsprotokoll der Klasse „Challenge-Response“ (Challenge-Response, Aufruf-Antwort) zum Einsatz, das als Automated Certificate Management Environment (ACME) bekannt ist. Alle Vorgänge mit dem Zertifikat erfolgen ohne Unterbrechung des Webservers mithilfe des ACME-Clients. CertbotEr ist benutzerfreundlich, läuft auf den meisten Betriebssystemen und ist gut dokumentiert. Es gibt einen Expertenmodus mit erweiterten Einstellungen. Neben Certbot gibt es zahlreiche andere ACME-Clients..

Eine wichtige Rolle spielt Let’s Encrypt.

Let’s Encrypt hat eine echte Revolution auf dem Markt ausgelöst, wo zuvor kommerzielle Zertifizierungsstellen dominierten. Diese sind nun praktisch aus dem Geschäft mit der Ausstellung von DV-Zertifikaten (Domain Validierung, Domain Validation) ausgestiegen, obwohl sie weiterhin Zertifikate mit Organisationsvalidierung (Organization Validation, OV) und solche mit erweiterter Validierung (Extended Validation, EV) verkaufen, die Let’s Encrypt nicht ausstellt, da sie nicht automatisiert werden können. Dennoch ist dies ein Nischenprodukt, während auf dem Massenmarkt die kostenlosen Zertifikate von Let’s Encrypt dominieren.

Let’s Encrypt hat die automatische Erneuerung von Zertifikaten zum Standard gemacht. Trotz ihrer kurzen Lebensdauer von 90 Tagen beseitigt das automatische Verfahren den menschlichen Faktor, der traditionell die Hauptanfälligkeit in der Sicherheit darstellt. Domainadministratoren vergessen oft, die Zertifikate rechtzeitig zu verlängern, was zu Ausfällen von Diensten führt. Ein solcher Vorfall ereignete sich zuletzt mit Microsoft Teams. Am 3. Februar 2020 ging dieser Kollaborationsdienst offline. wegen eines abgelaufenen Zertifikats..

Die automatische Ersetzung von Zertifikaten über das ACME-Protokoll schließt die Möglichkeit solcher Vorfälle aus.

Obwohl das Projekt Let’s Encrypt die Hälfte des Internets betreut, handelt es sich in der physischen Welt um eine kleine Non-Profit-Organisation: „In diesen zweieinhalb Jahren ist unsere Organisation gewachsen, aber nur sehr wenig! – schreiben sie. – Im Juni 2017 haben wir etwa 46 Millionen Websites mit 11 fest angestellten Mitarbeitern und einem Jahresbudget von 2,61 Millionen Dollar betreut. Heute betreuen wir fast 192 Millionen Websites mit 13 fest angestellten Mitarbeitern und einem Jahresbudget von ungefähr 3,35 Millionen Dollar. Das bedeutet, dass wir mehr als viermal so viele Websites mit nur zwei zusätzlichen Mitarbeitern und einer Budgeterhöhung von 28 Prozent betreuen.“

Die Unterstützung des Projekts erfolgt durch Spenden und Sponsorings.

Bislang ist HTTPS zum De-facto-Standard im Internet geworden. Seit vergangenem Jahr warnen die Hauptbrowser die Nutzer vor der Gefahr, sich mit Websites zu verbinden, die den Datenverkehr nicht über HTTPS verschlüsseln. An dieser Veränderung der Sicherheitssituation hat Let’s Encrypt maßgeblichen Anteil.

Darüber hinaus hat Let’s Encrypt buchstäblich die Infrastruktur öffentlicher XMPP-Server neu belebt. Jetzt arbeitet Jabber mit zuverlässiger Verschlüsselung sowohl auf Client-Server- als auch auf Server-Server-Ebene, und die überwiegende Mehrheit der Zertifikate wurde von Let’s Encrypt vergeben.

„Als Gemeinschaft haben wir unglaubliche Dinge getan, um die Menschen im Internet zu schützen,“ steht in der Pressemitteilung. „Die Ausgabe von einer Milliarde Zertifikaten ist ein Beweis für den Fortschritt, den wir als Gemeinschaft erzielt haben.“

Quelle: habr.com