Давайте зашифруем
 | |
| Формирование | 18 ноября 2014 г |
|---|---|
| Основатель | |
| Штаб-квартира | Сан-Франциско , Калифорния , США |
| Координаты | 37 ° 48'01 ″ с.ш. 122 ° 27'00 ″ з.д. / 37,800322 ° с.ш. 122,449951 ° з.д. |
| Услуги | X.509 Центр сертификации |
Головная организация | Группа исследований интернет-безопасности |
Бюджет (2019) | 3,6 миллиона долларов США [ 1 ] |
Персонал (2023) | 27 [ 2 ] |
| Веб-сайт | Letsencrypt |
Let's Encrypt — это некоммерческий центр сертификации, управляемый исследовательской группой Internet Security предоставляет X.509 сертификаты для шифрования Transport Layer Security (ISRG), который бесплатно (TLS). Это крупнейший в мире центр сертификации, [ 3 ] используется более чем 300 миллионами веб-сайтов , [ 4 ] с целью обеспечения безопасности всех веб-сайтов и использования HTTPS . Исследовательская группа по интернет-безопасности (ISRG), поставщик этой услуги, является общественно полезной организацией. [ 5 ] Основными спонсорами являются Electronic Frontier Foundation (EFF), Mozilla Foundation , OVH , Cisco Systems , Facebook , Google Chrome , Internet Society , AWS , NGINX и Фонд Билла и Мелинды Гейтс . [ 6 ] Другие партнеры включают центр сертификации IdenTrust , [ 7 ] ( Мичиганский университет UM), [ 8 ] и Фонд Linux . [ 9 ]
Обзор
[ редактировать ]
Миссия организации — создать более безопасную и уважающую конфиденциальность Всемирную паутину путем содействия широкому внедрению HTTPS. [ 10 ] Сертификаты Let's Encrypt действительны в течение 90 дней, в течение которых их можно продлить в любое время. [ 11 ] Это осуществляется с помощью автоматизированного процесса, предназначенного для устранения ручного создания, проверки , подписания , установки и обновления сертификатов для защищенных веб-сайтов. [ 12 ] [ 13 ] Проект утверждает, что его цель — сделать повсеместными зашифрованные соединения с серверами Всемирной паутины. [ 14 ] За счет устранения задач по оплате, настройке веб-сервера, управлению электронной почтой и обновлению сертификатов он значительно снижает сложность настройки и обслуживания шифрования TLS. [ 15 ]
На веб-сервере Linux достаточно выполнения всего двух команд для настройки шифрования HTTPS , а также получения и установки сертификатов. [ 16 ] [ 17 ] С этой целью пакет программного обеспечения был включен в официальные Debian и Ubuntu репозитории программного обеспечения . [ 18 ] [ 19 ] Текущие инициативы крупных разработчиков браузеров, таких как Mozilla и Google, по отказу от незашифрованного HTTP основаны на доступности Let's Encrypt. [ 20 ] [ 21 ] Признано, что проект имеет потенциал для реализации зашифрованных соединений, что является стандартным случаем для всей сети. [ 22 ]
Служба выдает только сертификаты, проверенные доменом , поскольку их можно полностью автоматизировать. Сертификаты проверки организации и сертификаты расширенной проверки требуют проверки человеком всех зарегистрированных лиц и поэтому не предлагаются Let's Encrypt. [ 23 ] Поддержка ACME v2 и групповых сертификатов была добавлена в марте 2018 года. [ 24 ] Проверка домена (DV), используемая Let's Encrypt, возникла в 2002 году и поначалу вызывала споры, когда была введена GeoTrust, прежде чем стала широко распространенным методом выдачи SSL-сертификатов. [ 25 ]
Будучи максимально прозрачной, организация надеется не только защитить свою надежность, но и защититься от атак и попыток манипулирования. С этой целью он регулярно публикует отчеты о прозрачности, [ 26 ] публично регистрирует все транзакции ACME (например, используя прозрачность сертификатов ) и использует открытые стандарты и бесплатное программное обеспечение . максимально [ 16 ]
История
[ редактировать ]Проект Let's Encrypt был начат в 2012 году двумя сотрудниками Mozilla, Джошем Аасом и Эриком Рескорлой, совместно с Питером Экерсли из Electronic Frontier Foundation и Дж. Алексом Халдерманом из Мичиганского университета . Internet Security Research Group , компания, стоящая за Let's Encrypt, была зарегистрирована в мае 2013 года. [ 8 ]
О Let's Encrypt было публично объявлено 18 ноября 2014 года. [ 27 ]
28 января 2015 года протокол ACME был официально представлен IETF для стандартизации. [ 28 ] 9 апреля 2015 года ISRG и Linux Foundation объявили о своем сотрудничестве. [ 9 ] Корневой и промежуточный сертификаты были созданы в начале июня. [ 29 ] 16 июня 2015 г. был объявлен окончательный график запуска услуги: ожидается, что первый сертификат будет выдан где-то на неделе 27 июля 2015 г., после чего последует ограниченный период выдачи для проверки безопасности и масштабируемости. Первоначально планировалось, что общедоступная услуга станет доступна где-то на неделе с 14 сентября 2015 года. [ 30 ] 7 августа 2015 г. в график запуска были внесены изменения, чтобы предоставить больше времени для обеспечения безопасности и стабильности системы: первый сертификат будет выдан на неделе с 7 сентября 2015 г., а общая доступность - на неделе с 16 ноября 2015 г. [ 31 ]
14 сентября 2015 года Let's Encrypt выпустила свой первый сертификат для домена helloworld.
19 октября 2015 года промежуточные сертификаты были подписаны IdenTrust , в результате чего все основные браузеры стали доверять всем сертификатам, выданным Let's Encrypt. [ 7 ]
12 ноября 2015 года Let's Encrypt объявила, что общедоступная версия будет отложена и что первая публичная бета-версия начнется 3 декабря 2015 года. [ 33 ] Публичная бета-версия началась 3 декабря 2015 г. [ 34 ] по 12 апреля 2016 г. [ 35 ] Он запущен 12 апреля 2016 года. [ 36 ] [ 37 ] [ 5 ]
3 марта 2020 года Let's Encrypt объявила, что 4 марта ей придется отозвать более 3 миллионов сертификатов из-за ошибки в программном обеспечении центра сертификации. [ 38 ] Благодаря работе с поставщиками программного обеспечения и связям с операторами сайтов Let's Encrypt удалось продлить 1,7 миллиона затронутых сертификатов до истечения установленного срока. В конечном итоге они решили не отзывать оставшиеся затронутые сертификаты, поскольку риск безопасности был низким, а срок действия сертификатов истекал в течение следующих 90 дней. [ 39 ] Событие массового отзыва значительно увеличило глобальный уровень отзыва. [ 40 ]
В марте 2020 года Let's Encrypt была удостоена ежегодной награды Фонда свободного программного обеспечения за проекты социальной пользы. [ 41 ]
27 февраля 2020 года Let's Encrypt объявила о выпуске миллиарда сертификатов. [ 42 ]
В апреле 2022 года Let's Encrypt была награждена премией Левчина за «фундаментальные улучшения экосистемы сертификатов, обеспечивающие бесплатные сертификаты для всех». [ 43 ]
По данным Let's Encrypt, по состоянию на сентябрь 2022 года выдано 234 миллиона активных (с неистекшим сроком действия) сертификатов. [ 4 ]
Технология
[ редактировать ]Цепочка доверия
[ редактировать ]Корень ISRG X1 (RSA)
[ редактировать ]В июне 2015 года Let's Encrypt объявила о создании своего первого корневого сертификата RSA — ISRG Root X1. [ 44 ] Корневой сертификат использовался для подписи двух промежуточных сертификатов . [ 44 ] которые также подписаны центром сертификации IdenTrust . [ 7 ] [ 45 ] Один из промежуточных сертификатов используется для подписи выданных сертификатов, а другой хранится в автономном режиме в качестве резервной копии на случай проблем с первым промежуточным сертификатом. [ 44 ] Поскольку сертификату IdenTrust уже широко доверяют основные веб-браузеры, сертификаты Let's Encrypt обычно могут быть проверены и приняты проверяющими сторонами. [ 29 ] даже до того, как производители браузеров включат ISRG корневой сертификат в качестве якоря доверия .
Корень ISRG X2 (ECDSA)
[ редактировать ]Разработчики Let's Encrypt планировали сгенерировать корневой ключ ECDSA еще в 2015 году. [ 44 ] но затем отложил план на начало 2016 года, затем на 2019 год и, наконец, на 2020 год. 3 сентября 2020 года Let's Encrypt выпустила шесть новых сертификатов: один новый корневой ECDSA с именем «ISRG Root X2», четыре промежуточных и один перекрестный сертификат. знак. Новый корневой сертификат ISRG X2 перекрестно подписан с корневым сертификатом ISRG X1, собственным корневым сертификатом Let's Encrypt. Let's Encrypt не предоставила ответчик OCSP для новых промежуточных сертификатов и вместо этого планирует полагаться исключительно на списки отзыва сертификатов (CRL) для отзыва скомпрометированных сертификатов и короткие периоды действия, чтобы снизить опасность компрометации сертификатов. [ 46 ]
протокол ACME
[ редактировать ]Протокол запроса-ответа, используемый для автоматизации регистрации в центре сертификации, называется автоматизированной средой управления сертификатами (ACME). Он может запрашивать либо веб-серверы, либо DNS-серверы, контролируемые доменом, на который выдается сертификат. В зависимости от того, соответствуют ли полученные ответы ожиданиям, участнику гарантируется контроль над доменом (проверка домена). Клиентское программное обеспечение ACME может настроить выделенный сервер TLS, который будет запрашиваться сервером центра сертификации ACME с запросами с использованием указания имени сервера (проверка домена с использованием указания имени сервера, DVSNI), или оно может использовать перехватчики для публикации ответов на существующие веб-сайты и DNS. серверы.
Процессы проверки выполняются несколько раз по разным сетевым путям. Проверка наличия записей DNS выполняется из нескольких географически разнесенных мест, чтобы затруднить проведение атак по подмене DNS.
Взаимодействие ACME основано на обмене документами JSON через соединения HTTPS. [ 47 ] Черновой вариант спецификации доступен на GitHub , [ 48 ] Версия была представлена в Инженерную рабочую группу Интернета (IETF) в качестве предложения по стандарту Интернета. [ 49 ]
Let's Encrypt реализовал собственный вариант протокола ACME. В то же время они настаивали на стандартизации. Это привело к появлению «предлагаемого стандарта» (RFC8555) в мае 2019 года. Он внес критические изменения и поэтому получил название ACMEv2. Let's Encrypt внедрил новую версию и начал обновлять существующие клиенты. Подталкивание было реализовано с периодическими простоями API ACMEv1. Окончание срока службы было объявлено с указанием дат и этапов в «Плане окончания срока действия ACMEv1». [ 50 ] С 8 ноября 2019 г. ACMEv1 больше не принимает регистрацию новых учетных записей. С июня 2020 года ACMEv1 прекратил принимать новые проверки доменов. С января 2021 года ACMEv1 отключался на 24 часа. API ACMEv1 был полностью отключен 1 июня 2021 г. [ 51 ]
Программная реализация
[ редактировать ]
Центр сертификации состоит из программного обеспечения Boulder, написанного на Go и реализующего серверную часть протокола ACME . Он публикуется как бесплатное программное обеспечение с исходным кодом на условиях версии 2 Общественной лицензии Mozilla (MPL). [ 52 ] Он предоставляет RESTful API , доступ к которому можно получить по каналу, зашифрованному TLS.
Лицензия Apache [ 53 ] Python Программа управления сертификатами под названием certbot (ранее letsencrypt ) устанавливается на стороне клиента (веб-сервера подписчика). Это используется для заказа сертификата, проведения процесса проверки домена, установки сертификата, настройки шифрования HTTPS на HTTP-сервере, а затем для регулярного обновления сертификата. [ 16 ] [ 54 ] После установки и согласия с пользовательской лицензией достаточно выполнить одну команду, чтобы установить действительный сертификат. дополнительные параметры, такие как сшивание OCSP или строгая транспортная безопасность HTTP (HSTS). Также можно включить [ 47 ] Автоматическая настройка изначально работает только с Apache и nginx .
Let's Encrypt выдает сертификаты сроком действия 90 дней. Причина заключается в том, что эти сертификаты «ограничивают ущерб от компрометации и неправильной выдачи ключей» и способствуют автоматизации. [ 55 ]
Первоначально Let's Encrypt разработала собственный клиент ACME — Certbot — в качестве официальной реализации. Он был передан Electronic Frontier Foundation , а его название «letsencrypt» было изменено на «certbot». Существует большой выбор клиентов и проектов ACME для ряда сред, разработанных сообществом. [ 56 ]
См. также
[ редактировать ]- HTTPS везде
- Let's Encrypt Stats — интерактивные диаграммы сертификатов Let's Encrypt, выдаваемых ежедневно.
Дальнейшее чтение
[ редактировать ]- Барнс, Р.; Хоффман-Эндрюс, Дж.; Маккарни, Д.; Кастен, Дж. (март 2019 г.). Среда автоматического управления сертификатами (ACME) RFC 8555 . IETF .
Ссылки
[ редактировать ]- ^ Аас, Джош (31 декабря 2019 г.). «В ожидании 2019 года» . Давайте зашифруем . Проверено 26 января 2019 г.
- ^ «Построение лучшего Интернета — годовой отчет ISRG за 2023 год» (PDF) . Группа исследований интернет-безопасности . 27 декабря 2023 г. . Проверено 27 мая 2024 г.
- ^ «Для лучшего Интернета — годовой отчет ISRG за 2020 год» (PDF) . Группа исследований интернет-безопасности . 17 ноября 2020 г. . Проверено 11 мая 2021 г.
- ^ Jump up to: а б «Давайте зашифруем статистику — Давайте зашифруем — Бесплатные сертификаты SSL/TLS» . letsencrypt.org . Проверено 1 октября 2022 г.
- ^ Jump up to: а б «О Let's Encrypt» . Давайте зашифруем.
- ^ «Текущие спонсоры и спонсоры» . Давайте зашифруем.
- ^ Jump up to: а б с Аас, Джош (19 октября 2015 г.). «Давайте зашифруем доверие» .
- ^ Jump up to: а б Аас, Джош (18 ноября 2014 г.). «Давайте зашифруем | Бум, чванство, бум» . Boomswaggerboom.wordpress.com. Архивировано из оригинала 8 декабря 2015 года . Проверено 6 января 2016 г.
- ^ Jump up to: а б Кернер, Шон Майкл (9 апреля 2015 г.). «Let’s Encrypt становится совместным проектом Linux Foundation» . электронная неделя . КвинСтрит Энтерпрайз. [ постоянная мертвая ссылка ]
- ^ «Давайте зашифруем — FAQ» . Давайте зашифруем . Проверено 11 мая 2021 г.
- ^ «Почему срок действия сертификатов составляет девяносто дней? — Давайте зашифруем» . letsencrypt.org . Проверено 5 сентября 2021 г.
- ^ Кернер, Шон Майкл (18 ноября 2014 г.). «Давайте зашифруем усилия, направленные на повышение безопасности в Интернете» . eWeek.com . Квинстрит Энтерпрайз. Архивировано из оригинала 13 декабря 2016 года . Проверено 27 февраля 2015 г.
- ^ Экерсли, Питер (18 ноября 2014 г.). «Запуск в 2015 году: центр сертификации для шифрования всей сети» . Фонд электронных границ . Проверено 27 февраля 2015 г.
- ^ «Как это работает» . Давайте зашифруем . Проверено 9 июля 2016 г.
- ^ Тунг, Лиам (19 ноября 2014 г.). «EFF и Mozilla запускают бесплатное шифрование веб-сайтов в один клик» . ЗДНет . CBS Интерактив.
- ^ Jump up to: а б с Фабиан Шершель (19 ноября 2014 г.). «Давайте зашифруем: Mozilla и EFF встряхивают рынок CA» (на немецком языке). heise.de.
- ^ Марвин, Роб (19 ноября 2014 г.). «EFF хочет сделать HTTPS протоколом по умолчанию» . Время разработки программного обеспечения . БЖ Медиа. Архивировано из оригинала 17 июня 2016 года . Проверено 27 мая 2019 г.
- ^ Мариер, Франсуа (1 января 2015 г.). «ITP: letsencrypt — клиент Let’s Encrypt, который может обновлять конфигурации Apache» . Журналы отчетов об ошибках Debian .
- ^ «python-letencrypt» . Трекер пакетов Debian . 27 мая 2015 г.
- ^ Барнс, Ричард (30 апреля 2015 г.). «Устаревший незащищенный HTTP» . Блог о безопасности Mozilla . Мозилла.
- ^ «Маркировка HTTP как незащищенного» . Проекты Хрома .
- ^ Муди, Глин (25 ноября 2014 г.). «Грядущая война с шифрованием, Tor и VPN» . Компьютерный мир Великобритании . IDG Великобритания.
- ^ Воган-Николс, Стивен Дж. (9 апреля 2015 г.). «Защита Интернета раз и навсегда: проект Let’s Encrypt» . ЗДНет . CBS Интерактив.
- ^ Аас, Джош (13 марта 2018 г.). «Поддержка ACME v2 и сертификатов Wildcard уже доступна» . Давайте зашифруем . Проверено 24 мая 2018 г.
- ^ «Есть сертификаты и сертификаты – VeriSign ругает конкурентов» . www.theregister.com . Проверено 20 августа 2020 г.
- ^ Зорз, Зелька (6 июля 2015 г.). «Центр сертификации Let's Encrypt публикует отчет о прозрачности перед выдачей первого сертификата» . Помогите Net Security .
- ^ Иосиф Цидулко (18 ноября 2014 г.). «Let's Encrypt, бесплатный и автоматизированный центр сертификации, выходит из скрытого режима» . crn.com . Проверено 26 августа 2015 г.
- ^ История проекта-barnes-acme
- ^ Jump up to: а б Рейко Капс (5 июня 2015 г.). «Давайте зашифруем: важный этап на пути к бесплатным сертификатам SSL для всех» (на немецком языке). heise.de.
- ^ Джош Аас (16 июня 2015 г.). «Давайте зашифруем расписание запуска» . letsencrypt.org . Давайте зашифруем . Проверено 19 июня 2015 г.
- ^ «Обновленный график запуска Let's Encrypt» . 7 августа 2015 г.
- ^ Майкл Мимосо. «Сначала запущен бесплатный сертификат Let's Encrypt» . Threatpost.com, «Лаборатория Касперского» . Проверено 16 сентября 2015 г.
- ^ «Публичное бета-тестирование: 3 декабря 2015 г.» . 12 ноября 2015 г.
- ^ «Вступаем в публичную бета-версию — давайте зашифруем — бесплатные сертификаты SSL/TLS» . Давайте зашифруем. 3 декабря 2015 года . Проверено 6 января 2016 г.
- ^ «Давайте зашифруем листья бета-версии» . LinuxFoundation.org . Архивировано из оригинала 15 апреля 2016 года . Проверено 17 апреля 2016 г.
- ^ Джош Аас; Исполнительный директор ИСРГ. «Выход из бета-версии, новые спонсоры» . ЭФФ . Проверено 12 апреля 2016 г.
- ^ Каталин Чимпану. «Запущенная сегодня программа Let's Encrypt в настоящее время защищает 3,8 миллиона доменов» . Новости софтпедии . Проверено 12 апреля 2016 г.
- ^ «Отзыв некоторых сертификатов 4 марта» . 3 марта 2020 г. . Проверено 4 марта 2020 г.
- ^ Барретт, Брайан (9 марта 2020 г.). «Интернет предотвратил небольшую катастрофу на прошлой неделе» . Проводной . Конде Наст . Проверено 12 мая 2020 г.
- ^ Коржицкий, Никита; Карлссон, Никлас (2021). Статусы отзыва в Интернете . arXiv : 2102.04288 .
{{cite book}}:|work=игнорируется ( помогите ) - ^ Let's Encrypt, Джим Мейеринг и Кларисса Лима Борхес получают премию Free Software Awards 2019 от FSF Фонд свободного программного обеспечения, 2020
- ^ «Компания Let’s Encrypt выпустила миллиард сертификатов – Let’s Encrypt – бесплатные сертификаты SSL/TLS» . letsencrypt.org . Проверено 3 апреля 2021 г.
- ^ «Премия Левчина за реальную криптографию» . Крипто-симпозиум в реальном мире . Международная ассоциация криптологических исследований . Проверено 9 апреля 2024 г.
- ^ Jump up to: а б с д Аас, Джош (4 июня 2015 г.). «Зашифруем корневые и промежуточные сертификаты» . Давайте зашифруем .
- ^ Рейко Капс (17 июня 2015 г.). «Центр сертификации SSL Lets Encrypt планирует открыться в середине сентября 2015 года» (на немецком языке). heise.de.
- ^ Гейбл, Аарон (17 сентября 2020 г.). «Давайте зашифруем новые корневые и промежуточные сертификаты» . Давайте зашифруем . Проверено 22 сентября 2020 г.
- ^ Jump up to: а б Брук, Крис (18 ноября 2014 г.). «EFF и другие планируют упростить шифрование в сети в 2015 году» . Threatpost: Служба новостей безопасности «Лаборатории Касперского» .
- ^ «Проект спецификации ACME» . Гитхаб . 6 мая 2020 г.
- ^ Барнс, Ричард; Экерсли, Питер; Шон, Сет; Хальдерман, Алекс; Кастен, Джеймс (28 января 2015 г.). «Среда автоматического управления сертификатами (ACME) Draft-barnes-acme-01» . Сетевая рабочая группа.
- ^ «План прекращения поддержки ACMEv1» . Поддержка сообщества Let’s Encrypt . 11 марта 2019 года . Проверено 20 августа 2020 г.
- ^ «План прекращения поддержки ACMEv1 — объявления API» . Поддержка сообщества Let’s Encrypt . 5 мая 2021 г. . Проверено 12 мая 2021 г.
- ^ Letsencrypt. «boulder/LICENSE.txt в мастере · letsencrypt/boulder · GitHub» . Гитхаб.com . Проверено 6 января 2016 г.
- ^ letsencrypt (23 ноября 2015 г.). «letsencrypt/LICENSE.txt в мастере · letsencrypt/letsencrypt · GitHub» . Гитхаб.com . Проверено 6 января 2016 г.
- ^ Сандерс, Джеймс (25 ноября 2014 г.). «Инициатива Let’s Encrypt по предоставлению бесплатных сертификатов шифрования» . Техреспублика . CBS Интерактив.
- ^ Аас, Джош (9 ноября 2015 г.). «Почему срок действия сертификатов составляет девяносто дней?» . Давайте зашифруем . Проверено 26 июня 2016 г.
- ^ «Реализация клиента ACME — Давайте зашифруем — Бесплатные сертификаты SSL/TLS» . letsencrypt.org . Проверено 20 августа 2020 г.
Внешние ссылки
[ редактировать ]