Am 27. Februar 2020 gab das kostenlose Zertifizierungszentrum Let’s Encrypt die milliardenste Zertifikatssausgabe bekannt. Das milliardste Zertifikat wurde ausgestellt..

In der feierlichen Pressemitteilung erinnern die Vertreter des Projekts daran, dass der vorherige Meilenstein von 100 Millionen ausgestellten Zertifikaten im Juni 2017 gefeiert wurde.Damals betrug der Anteil des HTTPS-Datenverkehrs im Internet 58 % (in den USA 64 %). In den zweieinhalb Jahren seitdem sind die Zahlen erheblich gestiegen: „Heute verwenden 81 % der weltweit geladenen Seiten HTTPS, und in den Vereinigten Staaten haben wir 91 % erreicht! – freuen sich die Leute hinter dem Projekt. – Das ist eine unglaubliche Errungenschaft. Es bietet ein viel höheres Niveau an Privatsphäre und Sicherheit für alle.“

Let’s Encrypt hat eine sehr wichtige Rolle dabei gespielt, dass HTTPS-Zertifikate zum Standard geworden sind und die sichere Verschlüsselung des Datenverkehrs zur Norm im Internet.

Die Betatestphase des innovativen Zertifizierungszentrums Let’s Encrypt begann im Dezember 2015. Ein einzigartiges Merkmal des neuen Zentrums war, dass der Prozess der Zertifikatserteilung ursprünglich vollständig automatisiert wurde.

Die automatische Einrichtung von HTTPS auf dem Server erfolgt in zwei Schritten. Im ersten Schritt informiert der Agent das Zertifizierungszentrum über die Administrationsrechte des Serveradministrators für den Domänennamen. Beispielsweise kann die Überprüfung das Erstellen eines bestimmten Subdomains oder die Einrichtung einer HTTP-Ressource innerhalb der Domain mit einer bestimmten URI umfassen.

Let’s Encrypt identifiziert den Webserver mit dem aktiven Agenten durch den öffentlichen Schlüssel. Der öffentliche und der private Schlüssel werden vom Agenten vor der ersten Verbindung mit dem Zertifizierungszentrum generiert. Während der automatischen Prüfung führt der Agent eine Reihe von Tests durch: zum Beispiel signiert er das erhaltene Einmal-Passwort mit dem öffentlichen Schlüssel und stellt die HTTP-Ressource mit einer bestimmten URI bereit. Wenn die digitale Unterschrift korrekt ist und alle Tests bestanden werden, erhält der Agent die Berechtigung zur Verwaltung der Zertifikate für die Domain.

Im zweiten Schritt kann der Agent Zertifikate anfordern, aktualisieren und zurückziehen. Für die automatische Ausstellung des Zertifikats wird ein Authentifizierungsprotokoll der Klasse „Challenge-Response“ namens Automated Certificate Management Environment (ACME) verwendet. Alle Vorgänge mit dem Zertifikat erfolgen ohne Unterbrechung des Webservers unter Verwendung des ACME-Clients. Certbot. Es ist einfach zu bedienen, läuft auf den meisten Betriebssystemen und ist hervorragend dokumentiert. Es gibt einen Expertenmodus mit einer erweiterten Anzahl an Einstellungen. Neben Certbot gibt es zahlreiche andere ACME-Clients.

Die wichtige Rolle von Let’s Encrypt

Let’s Encrypt hat eine wahre Revolution auf dem Markt ausgelöst, wo zuvor kommerzielle Zertifizierungsstellen das Sagen hatten. Diese sind nun nahezu aus dem Geschäft der Ausstellung von DV-Zertifikaten (Domain Validation) ausgestiegen, obwohl sie weiterhin Zertifikate mit Organisationsvalidierung (Organization Validation, OV) und Zertifikate mit erweiterter Validierung (Extended Validation, EV) verkaufen, die Let’s Encrypt nicht ausstellt, da sie nicht automatisiert werden können. Allerdings sind diese Nischenprodukte, während auf dem Massenmarkt die kostenlosen Zertifikate von Let’s Encrypt dominieren.

Let’s Encrypt hat den automatischen Zertifikatsneuausstellungsprozess zum Standard gemacht. Trotz der kurzen Lebensdauer von 90 Tagen beseitigt das automatische Verfahren den 'faktore menschlichen Versagens', der traditionell die Hauptschwachstelle in der Sicherheit darstellt. Domain-Administratoren vergessen oft einfach, ihre Zertifikate zu verlängern, wodurch Dienstleistungen ausfallen. Der letzte solcher Vorfall geschah mit Microsoft Teams. Am 3. Februar 2020 ging dieser Kollaborationsdienst aufgrund eines abgelaufenen Zertifikats offline. aufgrund eines abgelaufenen Zertifikats..

Die automatische Zertifikatsersetzung über das ACME-Protokoll schließt die Möglichkeit solcher Vorfälle aus.

Obwohl das Projekt Let’s Encrypt die Hälfte des Internets betreut, ist es in der physischen Welt eine kleine gemeinnützige Organisation: 'In diesen zweieinhalb Jahren ist unsere Organisation gewachsen, aber nur sehr wenig! - schreiben sie. - Im Juni 2017 betreuten wir etwa 46 Millionen Websites mit 11 festangestellten Mitarbeitern und einem Jahresbudget von 2,61 Millionen Dollar. Heute betreuen wir fast 192 Millionen Websites mit 13 festangestellten Mitarbeitern und einem Jahresbudget von etwa 3,35 Millionen Dollar. Das bedeutet, dass wir mehr als viermal so viele Websites mit nur zwei zusätzlichen Mitarbeitern und einer Budgeterhöhung von 28 Prozent betreuen.'

Die Unterstützung des Projekts erfolgt durch Spenden und Sponsoring.

HTTPS ist mittlerweile de facto der Standard im Internet. Seit letztem Jahr warnen die gängigen Browser die Nutzer vor der Gefahr, sich mit Websites zu verbinden, die den Datenverkehr über HTTPS nicht verschlüsseln. An dieser Veränderung in der Sicherheitslandschaft hat Let’s Encrypt einen großen Anteil.

Darüber hinaus hat Let’s Encrypt buchstäblich die Infrastruktur öffentlicher XMPP-Server wiederbelebt. Jetzt funktioniert Jabber mit zuverlässiger Verschlüsselung sowohl auf der Client-Server- als auch auf der Server-Server-Ebene, und die absolute Mehrheit der Zertifikate wurde von Let’s Encrypt ausgestellt.

„Als Gemeinschaft haben wir unglaubliche Dinge getan, um Menschen im Internet zu schützen“, heißt es in der Pressemitteilung. „Die Ausstellung von einer Milliarde Zertifikaten ist ein Beweis für den Fortschritt, den wir als Gemeinschaft gemacht haben.“

Quelle: habr.com