27. veebruar 2020. aastal väljastas tasuta sertifitseerimiskeskus Let’s Encrypt miljardi sertifikaadi.

Pidulikus pressiteates meenutavad projekti esindajad, et eelmine juubel 100 miljoni väljastatud sertifikaadiga tähistati juunis 2017. Sel ajal moodustas HTTPS-i liiklus internetis 58% (USA-s 64%). Viie ja poole aastaga on näitajad oluliselt kasvanud: „Täna kasutab 81% kogu maailmas laaditavatest lehtedest HTTPS-i, ja Ameerika Ühendriikides oleme jõudnud 91% tasemeni! — rõõmustavad projekti töötajad. — See on hämmastav saavutus. See tähendab palju kõrgemat privaatsuse ja turvalisuse taset kõigile.”

Let’s Encrypt on mänginud väga olulist rolli selles, et HTTPS-sertifikaadid on saanud utilitaarsest standardist ja usaldusväärne liikluse krüpteerimine on muutunud internetis täiesti normaalseks.

Let’s Encrypti innovatiivse sertifitseerimiskeskuse beetatestimine algas detsembris 2015. Unikaalne omadus oli see, et sertifikaatide väljastamise protsess oli algselt täielikult automatiseeritud.

HTTPS-i automaatne seadistamine serveris toimub kahes etapis. Esimeses etapis teavitab agent sertifitseerimiskeskust serveri administraatori õigustest domeeninime suhtes. Näiteks võib kontroll hõlmata kindla alamdomeeni loomist või HTTP-ressursi seadistamist domeeni sees teatud URI-ga.

Let’s Encrypt tuvastab veebiserveri, kus agent töötab, avaliku võtme abil. Avalikud ja privaatsed võtmed genereerib agent enne esimest ühendust sertifitseerimiskeskusega. Automaatse kontrollimise käigus täidab agent mitmeid teste: näiteks allkirjastab ta avaliku võtmega saadud ühekordselt kasutatava parooli ja esitab HTTP-ressursi kindla URI-ga. Kui digitaalne allkiri on õige ja kõik testid on läbitud, antakse agendile õigused haldamiseks sertifikaatide domeeni jaoks.

Teisel etapil saab agent sertifikaate taotleda, uuendada ja tagasi võtta. Sertifikaadi automaatseks väljastamiseks kasutatakse väljakutse ja vastuse klassi autentimisprotokolli, mida nimetatakse Automated Certificate Management Environment (ACME). Kõik sertifikaadiga seotud toimingud tehakse veebiserveri seiskamata ACME-klient kasutades. Certbot. See on kasutajasõbralik, töötab enamikus operatsioonisüsteemides ja on hästi dokumenteeritud. Ekspertrežiim pakub laiendatud seadistuste komplekti. Lisaks Certbotile on olemas palju teisi ACME-kliente..

Oluline roll Let’s Encryptil

Let’s Encrypt on teinud tõelise revolutsiooni turul, kus kunagi valitsesid kommertsertifikaadi keskus. Nüüd on nad praktiliselt loobunud DV-sertifikaadide (domeeni valideerimise, Domain Validation) väljastamisest, kuigi nad jätkavad organisatsiooni valideerimise (Organization Validation, OV) ja kõrgema usaldusväärsuse (Extended Validation, EV) sertifikaatide müüki, mida Let’s Encrypt ei väljastanud, sest neid ei saa automatiseerida. Siiski on see nišitoode, samas kui tasuta sertifikaadid Let’s Encrypti näol valitsevad massiturul.

Let’s Encrypt on teinud automaatse sertifikaatide taaskäivitamise standardiks. Kuigi nende eluaeg on lühike (90 päeva), kõrvaldab automatiseeritud protsess inimfaktori, mis on traditsiooniliselt peamine turvaäkken. Domeeni administraatorid unustavad tihti sertifikaate pikendada, mille tõttu teenused võivad välja langeda. Viimane sarnane juhtum leidis aset Microsoft Teamsiga. 3. veebruaril 2020 läks see koostööteenus töövõimetuks seoses aegunud sertifikaadiga.

Sertifikaatide automaatne vahetamine ACME protokolli kaudu välistab selliste intsidendide võimaluse.

Kuigi Let’s Encrypt teenindab poole internetist, on see füüsilises maailmas väike mittetulundusühing: "Kaks ja pool aastat meie organisatsioon on kasvanud, aga väga vähe! – kirjutavad nad. – Juunis 2017 teenindasime umbes 46 miljonit veebisaiti 11 töötajaga ja aastase eelarvega 2,61 miljonit dollarit. Täna teenindame peaaegu 192 miljonit veebisaiti 13 töötajaga ja aastase eelarvega umbes 3,35 miljonit dollarit. See tähendab, et teenindame üle nelja korra rohkem saite, ainult kahe täiendava töötajaga ja 28-protsendilise eelarve tõusuga."

Projekti toetatakse läbi annetuste ja sponsorluse.

Praegu on HTTPS muutunud internetis de facto standardiks. Eelmisel aastal hoiatavad peamised brauserid kasutajaid veebisaitide ohtlikkuse eest, mis ei krüpteeri liiklust läbi HTTPS. Sellises turvalisuse maastiku muutuses on suur osa Let’s Encrypti töö.

Lisaks sellele on Let’s Encrypt sõna otseses mõttes taaselustanud avalike XMPP-serverite infrastruktuuri. Nüüd töötab Jabber usaldusväärse krüpteerimisega nii kliendi-serveri kui ka server-serveri tasemel, ning absoluutne enamiku sertifikaate väljastas Let's Encrypt.

„Kogukonnana oleme teinud uskumatuid asju, et kaitsta inimesi internetis,“ on öeldud pressiteates. „Ühe miljardi sertifikaadi väljastamine on kinnituseks kogu edusammule, mille oleme kogukonnana saavutanud.“

Allikas: habr.com