27. veebruar 2020. aastal andis tasuta sertifitseerimiskeskus Let’s Encrypt välja miljardindat sertifikaati miljonid sertifikaadid.

Pidulikus pressiteates meenutavad projekti esindajad, et eelmist juubelit — 100 miljoni väljastatud sertifikaadi tähistamist toimus juunis 2017. Siis oli HTTPS-liikluse osakaal internetis 58% (Ameerikas 64%). Viimase kahe ja poole aastaga on näitajad oluliselt kasvanud: „Täna kasutab 81% kogu maailmas laaditavatest lehtedest HTTPS-i, Ameerika Ühendriikides oleme 91% tasemel! – rõõmustavad projekti juhid. – Usunmatult suur saavutus. See on palju kõrgem privaatsuse ja turvalisuse tase kõigile.“

Let’s Encrypt on mänginud väga olulist rolli selles, et HTTPS-i sertifikaadid on saanud utilitaarsest standardist ja usaldusväärne liiklusturve on muutunud igapäevaseks normiks internetis.

Innovatiivse sertifitseerimiskeskuse Let’s Encrypt beetatestimine algas detsembris 2015. Uue keskuse ainulaadne omadus oli see, et sertifikaatide väljastamise protsess oli algselt täielikult automatiseeritud.

HTTPS-i automaatne seadistamine serveris toimub kahes etapis. Esimeses etapis teavitab agent sertifitseerimiskeskust serveri haldaja õigustest domeeninime osas. Näiteks võib kontroll hõlmata teatud alamdomeeni loomist või kindla URI-ga HTTP-allika loomist domeeni sees.

Let’s Encrypt tuvastab veebiserveri, millel on käivitunud agent, avaliku võtme kaudu. Avalik ja privaatne võti genereeritakse agendi poolt enne esimest ühendumist sertifitseerimiskeskusega. Automaatse kontrolli käigus sooritab agent rea teste: näiteks allkirjastab ta saadud ühekordselt kasutatava parooli avaliku võtmega ja esitab teatud URI-ga HTTP-allika. Kui digitaalallkiri on õige ja kõik katsed on läbitud – antakse agentidele õigused sertifikaatide haldamiseks domeeni jaoks.

Teises etapis saab agent sertifikaate küsida, värskendada ja tühistada. Sertifikaadi automaatseks väljastamiseks kasutatakse väljakutsumis- ja vastuskoolituse protokolli (challenge-response) nimega Automated Certificate Management Environment (ACME). Kõik sertifikaadiga seotud tehingud toimuvad veebiserveri peatamata ACME-klientide abil. CertbotSee on lihtne kasutada, töötab enamiku opsüsteemidega ja on hästi dokumenteeritud. Ekspertrežiimiga on saadaval laiem seadistuste valik. Lisaks Certbotile, on olemas palju teisi ACME-kliente.

Oluline roll Let’s Encryptil

Let’s Encrypt on tõeliselt revolutsioneerinud turgu, kus varem valitsesid kommertscertifikaadikeskused. Nüüd on nad praktiliselt väljaspool DV-sertifikaatide (domeeni valideerimise sertifikaadid) väljastamista, kuigi nad jätkavad organisatsiooni valideerimise (OV) ja kõrge usaldusväärsusega (EV) sertifikaatide müümist, mida Let’s Encrypt ei väljastata, kuna neid ei saa automatiseerida. Siiski on see nišitoode ning massiturul valitsevad tasuta sertifikaadid Let’s Encrypt.

Let’s Encrypt on seadnud sertifikaatide automaatse uuendamise standardiks. Hoolimata nende lühikesest kehtivusajast (90 päeva) kaotab automatiseeritud protsess „inimfaktori“, mis on traditsiooniliselt peamine turvahaave. Domeeniadministraatorid unustavad tihti sertifikaatide pikendamise, mistõttu teenused jäävad tööta. Viimane selline juhtum toimus Microsoft Teamsiga. 3. veebruaril 2020 läks see koostööteenus välja võrku aegunud sertifikaadi tõttu.

ACME protokolli kaudu sertifikaatide automaatne asendamine välistab sarnaste juhtumite võimaluse.

Kuigi Let’s Encrypt teenindab pool internetti, on füüsilises maailmas tegemist väikese mittetulundusühinguga: „Aja jooksul on meie organisatsioon kasvanud, aga mitte oluliselt! – kirjutavad nad. – Juuni 2017. aastal teenindasime umbes 46 miljonit veebilehte 11 töötajaga ja aastase eelarvega 2,61 miljonit dollarit. Tänaseks teenindame peaaegu 192 miljonit veebilehte 13 töötajaga ja aastase eelarvega umbes 3,35 miljonit dollarit. See tähendab, et teenindame enam kui neli korda rohkem saite vaid kahe täiendava töötajaga ja 28%-lise eelarvekasvuga."

Projekti toetamine toimub läbi annetuste ja sponsorluse.

Selleks on HTTPS praeguseks kujunenud Interneti de facto standardiks. Alates eelmisest aastast hoiatavad enamiku brauserid kasutajaid ohtide eest, mis on seotud ühenduse loomisega veebilehtedel, mis ei šifreeri liiklust HTTPS-i kaudu. Sellise turvalisuse maastiku muutuse eest kannab suurt vastutust Let’s Encrypt.

Lisaks on Let’s Encrypt tegelikult taaselustanud avalike XMPP-serverite infrastruktuuri. Nüüd töötavad Jabber kindla šifreerimisega nii kliendi-serveri kui ka server-serveri tasemel, ja absoluutne enamus sertifikaatidest on väljastanud Let’s Encrypt.

„Kogukonnana oleme teinud uskumatuid asju, et kaitsta inimesi internetis,” öeldakse pressiteates. „Ühe miljardi sertifikaadi väljaandmine on kinnituseks kogu edule, mida oleme saavutanud kogukonnana.”

Allikas: habr.com