Das gemeinnützige Zertifizierungszentrum Let's Encrypt, das von der Gemeinschaft betrieben wird und kostenlos Zertifikate für alle Interessierten bereitstellt, hat mit der Ausgabe von kostenlosen Zertifikaten für IP-Adressen begonnen und die Möglichkeit zur Beantragung von TLS-Zertifikaten eingeführt, deren Lebensdauer auf 160 Stunden (6 Tage) begrenzt ist. Am 13. Mai beabsichtigen sie, die Unterstützung für optionale Zertifikate, die 45 Tage gültig sind, hinzuzufügen. Laut dem zuvor angekündigten Plan wird die maximale Gültigkeitsdauer von Zertifikaten am 10. Februar 2027 von 90 auf 64 Tage verkürzt und am 16. Februar 2028 auf 45 Tage.
Die ab heute verfügbaren Zertifikate für IP-Adressen gelten für 6 Tage und ermöglichen es, einen sicheren verschlüsselten Zugriff auf Hosts einzurichten, nicht nur bei Verwendung von Domainnamen, sondern auch bei direkter Ansprache über IP-Adresse. Der gesicherte Zugriff auf Web-Server über die IP-Adresse kann nützlich sein, um mit Heimgeräten zu interagieren; bei der Erstkonfiguration oder dem Testen neuer Server; um verschlüsselte Verbindungen zwischen Backends in der internen Infrastruktur zu organisieren; zum Erstellen von Platzhalterseiten, die beim Zugriff über IP angezeigt werden; beim Bereitstellen persönlicher Server; um den Zugriff auf DoH-Server (DNS über HTTPS) direkt über IP zu ermöglichen.
Die Zertifikate für Domains, deren Gültigkeit auf 6 Tage begrenzt ist, können zur Erhöhung der Sicherheit der Infrastruktur verwendet werden – im Falle einer unbemerkt erfolgten Zertifikatsleckage infolge eines Hacks verhindern kurzlebige Zertifikate, dass Angreifer über längere Zeit den Datenverkehr des Opfers kontrollieren oder die Zertifikate für Phishing verwenden.
Für die Beantragung eines kurzlebigen Zertifikats für eine Domain und eines Zertifikats für eine IP-Adresse ist die Unterstützung des ACME-Clients für die Erweiterung des Protokolls erforderlich, das Profile implementiert, sowie die Unterstützung des Profils 'shortlived'. Zur Bestätigung des Eigentums an der IP-Adresse können nur die Methoden http-01 und tls-alpn-01 verwendet werden (die Methode dns-01 ist nicht erlaubt).
Quelle: opennet.ru
