27 lutego 2020 roku bezpłatne centrum certyfikacji Let’s Encrypt wydało miliardowy certyfikat.

W świątecznym komunikacie prasowym przedstawiciele projektu przypominają, że poprzedni jubileusz przy 100 mln wydanych certyfikatach obchodzono w czerwcu 2017 roku. Wtedy udział ruchu HTTPS w internecie wynosił 58% (w USA 64%). W ciągu dwóch i pół roku wskaźniki znacznie wzrosły: „Dziś 81% ładowanych stron na całym świecie korzysta z HTTPS, a w Stanach Zjednoczonych osiągamy poziom 91%! – cieszą się chłopaki z projektu. – Niesamowite osiągnięcie. To znacznie wyższy poziom prywatności i bezpieczeństwa dla wszystkich.”

Let’s Encrypt odegrał bardzo ważną rolę w tym, że certyfikaty HTTPS stały się standardem użytkowym, a niezawodne szyfrowanie ruchu – powszechną normą w internecie.

Beta-testowanie innowacyjnego centrum certyfikacji Let’s Encrypt rozpoczęło się w grudniu 2015 roku. Unikalną cechą nowego centrum jest to, że proces wydawania certyfikatów był początkowo całkowicie zautomatyzowany.

Automatyczna konfiguracja HTTPS na serwerze odbywa się w dwóch etapach. W pierwszym etapie agent informuje centrum certyfikacji o prawach administratora serwera do nazwy domeny. Na przykład, weryfikacja może obejmować stworzenie określonego poddomeny lub zainstalowanie w obrębie domeny zasobu HTTP z określonym URI.

Let’s Encrypt identyfikuje serwer WWW z uruchomionym agentem po kluczu publicznym. Klucz publiczny i prywatny są generowane przez agenta przed pierwszym połączeniem z centrum certyfikacji. Podczas automatycznej weryfikacji agent przeprowadza szereg testów: na przykład podpisuje uzyskany jednorazowy kod kluczem publicznym i przedstawia zasób HTTP z określonym URI. Jeśli podpis cyfrowy jest poprawny i wszystkie testy są zakończone pomyślnie – agent otrzymuje prawa do zarządzania certyfikatami dla domeny.

W drugim etapie agent może żądać, aktualizować i unieważniać certyfikaty. Do automatycznego wydawania certyfikatu wykorzystywany jest protokół autoryzacji klasy „challenge-response” (wyzwanie-odpowiedź) o nazwie Automated Certificate Management Environment (ACME). Wszystkie operacje związane z certyfikatem odbywają się bez zatrzymywania serwera WWW za pomocą klienta ACME. Certbot. Jest prosty w użyciu, działa na większości systemów operacyjnych i jest doskonale udokumentowany. Istnieje tryb ekspertów z rozszerzonym zestawem ustawień. Oprócz Certbota, jest wiele innych klientów ACME.

Ważna rola Let’s Encrypt

Let’s Encrypt zrewolucjonizował rynek, na którym wcześniej dominowały komercyjne centra certyfikacji. Teraz praktycznie wyszły z biznesu wydawania certyfikatów DV (certyfikaty z potwierdzeniem domeny, Domain Validation), chociaż nadal sprzedają certyfikaty z potwierdzeniem organizacji (Organization Validation, OV) i certyfikaty o wysokiej niezawodności (Extended Validation, EV), których Let’s Encrypt nie wydaje, ponieważ nie można ich zautomatyzować. Niemniej jednak, to niszowy produkt, a na rynku masowym niepodzielnie panują darmowe certyfikaty Let’s Encrypt.

Let’s Encrypt uczynił standardem automatyczne odnawianie certyfikatów. Pomimo krótkiego czasu ich ważności (90 dni), automatyczna procedura eliminuje „czynnik ludzki”, który tradycyjnie stanowi główną podatność w bezpieczeństwie. Administratorzy domen często po prostu zapominają odnowić certyfikaty, przez co usługi przestają działać. Ostatni taki przypadek zdarzył się z Microsoft Teams. 3 lutego 2020 roku ta usługa do współpracy przestała działać z powodu wygasłego certyfikatu.

Automatyczna wymiana certyfikatów zgodnie z protokołem ACME wyklucza możliwość podobnych incydentów.

Choć projekt Let’s Encrypt obsługuje połowę internetu, w fizycznym świecie to mała organizacja non-profit: „Przez te dwa i pół roku nasza organizacja rosła, ale całkiem nieznacznie! - piszą. - W czerwcu 2017 roku obsługiwaliśmy około 46 mln stron internetowych dzięki 11 pracownikom etatowym i rocznemu budżetowi w wysokości 2,61 mln dolarów. Dziś obsługujemy prawie 192 mln stron internetowych z 13 pracownikami etatowymi i rocznym budżetem wynoszącym około 3,35 mln dolarów. Oznacza to, że obsługujemy ponad cztery razy więcej witryn przy zaledwie dwóch dodatkowych pracownikach i 28-procentowym wzroście budżetu.”

Wsparcie projektu pochodzi z darowizn i sponsoringu.

Obecnie HTTPS stał się standardem de facto w Internecie. Od zeszłego roku główne przeglądarki ostrzegają użytkowników o niebezpieczeństwie łączenia się z witrynami, które nie szyfrują ruchu przez HTTPS. Na takim przekształceniu krajobrazu bezpieczeństwa duża zasługa należy do Let’s Encrypt.

Co więcej, Let’s Encrypt dosłownie ożywił infrastrukturę publicznych serwerów XMPP. Teraz Jabber działa z niezawodnym szyfrowaniem zarówno na poziomie klient-serwer, jak i serwer-serwer, a zdecydowana większość certyfikatów została wydana przez Let’s Encrypt.

„Jako społeczność zrobiliśmy niesamowite rzeczy, aby chronić ludzi w Internecie — mówi w komunikacie prasowym. — Wydanie miliarda certyfikatów potwierdza cały postęp, który osiągnęliśmy jako społeczność”.

Źródło: habr.com