Let's Encrypt

Let's Encrypt ir bezpeļņas sertifikācijas iestāde, ko pārvalda Internet Security Research Group (ISRG) un kas bez maksas izsniedz X.509 sertifikātus transporta slāņa drošības (TLS) šifrēšanai. Tā ir pasaulē lielākā sertifikācijas iestāde, ko izmanto vairāk nekā 700 miljoni tīmekļa vietņu ar mērķi nodrošināt visu vietņu drošību, izmantojot HTTPS protokolu.

Galvenie sponsori ir Electronic Frontier Foundation (EFF), Mozilla Foundation, OVHcloud, Cisco Systems, Facebook, Google Chrome, Internet Society, AWS, nginx un Geitsu fonds.

 Pārskats 
Organizācijas misija ir radīt drošāku un privātumu respektējošu globālo tīmekli, veicinot HTTPS plašu ieviešanu. Let's Encrypt sertifikāti ir derīgi 90 dienas, un šajā laikā tos var atjaunot jebkurā brīdī. Atjaunošanu veic automatizēts process, kas aizstāj manuālu sertifikātu izveidi, validāciju, parakstīšanu, instalēšanu un atjaunošanu.

Novēršot maksājumus, tīmekļa serveru konfigurēšanu, e-pasta pārvaldību un sertifikātu atjaunošanas uzdevumus, tiek ievērojami samazināta TLS šifrēšanas iestatīšanas un uzturēšanas sarežģītība. Linux tīmekļa serverī pietiek izpildīt tikai divas komandas, lai iestatītu HTTPS šifrēšanu un iegūtu sertifikātus.

Pakalpojums izsniedz tikai domēna validācijas sertifikātus, jo tos var pilnībā automatizēt. Organizācijas validācijas un paplašinātās validācijas sertifikāti prasa cilvēka iesaisti, tāpēc Let's Encrypt tos nepiedāvā. Atbalstu ACME v2 protokolam un aizstājējzīmju sertifikātiem pievienoja 2018. gada martā.

 Vēsture 
Let's Encrypt projektu 2012. gadā uzsāka divi Mozilla darbinieki — Džošs Āss (Josh Aas) un Ēriks Reskola (Eric Rescorla) — kopā ar Pīteru Ekersli (Peter Eckersley) no Electronic Frontier Foundation un Aleksu Haldermanu (J. Alex Halderman) no Mičiganas Universitātes. Internet Security Research Group — uzņēmumu, kas stāv aiz Let's Encrypt — reģistrēja 2013. gada maijā.

Let's Encrypt publiski izziņoja .  ACME protokolu oficiāli iesniedza IETF standartizēšanai.History for draft-barnes-acme  ISRG un Linux Foundation paziņoja par sadarbību.

 Let's Encrypt izsniedza savu pirmo sertifikātu domēnam . Tajā pašā dienā ISRG iesniedza saknes programmas pieteikumus Mozilla, Microsoft, Google un Apple.  starpposma sertifikātus papildus parakstīja sertifikācijas iestāde IdenTrust, kas jau bija plaši uzticama, tādējādi visus Let's Encrypt izsniegtus sertifikātus atzina visas galvenās pārlūkprogrammas.

Publiskā beta versija darbojās no  līdz . Pakalpojumu oficiāli laida klajā .

 Let's Encrypt paziņoja, ka izsniegusi miljardu sertifikātu. 2020. gada martā Let's Encrypt saņēma Free Software Foundation ikgadējo balvu par projektiem ar sociālu nozīmi.Let's Encrypt, Jim Meyering, and Clarissa Lima Borges receive FSF's 2019 Free Software Awards Free Software Foundation, 2020

2022. gada aprīlī Let's Encrypt saņēma Levčina balvu par "fundamentāliem uzlabojumiem sertifikātu ekosistēmā, nodrošinot bezmaksas sertifikātus visiem".

Līdz 2022. gada septembrim Let's Encrypt ziņoja par 234 miljoniem aktīvu (nederīguma termiņu nepārsniegušu) sertifikātu.

 Tehnoloģija 

 Uzticamības ķēde 

 ISRG Root X1 (RSA) 
2015. gada jūnijā Let's Encrypt paziņoja par sava pirmā RSA saknes sertifikāta ISRG Root X1 ģenerēšanu. Saknes sertifikātu izmantoja divu starpposma sertifikātu parakstīšanai, kurus arī papildus parakstīja sertifikācijas iestāde IdenTrust.

 ISRG Root X2 (ECDSA) 
 Let's Encrypt izlaida sešus jaunus sertifikātus: vienu jaunu ECDSA sakni ar nosaukumu "ISRG Root X2", četrus starpposma sertifikātus un vienu papildus parakstu. Jauno ISRG Root X2 papildus parakstīja ar ISRG Root X1 — Let's Encrypt pašu saknes sertifikātu.

 ACME protokols 
Izaicinājuma-atbildes protokolu, ko izmanto automatizētai reģistrācijai sertifikācijas iestādē, sauc par ACME (Automatic Certificate Management Environment). Tas var veikt vaicājumus tīmekļa serveriem vai DNS serveriem, kurus kontrolē domēns, kam jāizsniedz sertifikāts. Pamatojoties uz to, vai iegūtās atbildes atbilst gaidītajam, tiek nodrošināta reģistrētāja kontrole pār domēnu (domēna validācija).

Validācijas procesus izpilda vairākas reizes pa atsevišķiem tīkla ceļiem. DNS ierakstu pārbaudi veic no vairākām ģeogrāfiski dažādām vietām, lai apgrūtinātu DNS viltošanas uzbrukumus.

ACME mijiedarbība balstās uz JSON dokumentu apmaiņu, izmantojot HTTPS savienojumus. IETF izstrādātā specifikācija ir ierosinātais standarts RFC 8555.

 Programmatūras ieviešana 
Sertifikācijas iestāde sastāv no programmatūras ar nosaukumu Boulder, kas uzrakstīta Go programmēšanas valodā un realizē ACME protokola servera pusi. To publicē kā brīvo programmatūru ar pirmkodu saskaņā ar Mozilla Public License 2. versijas nosacījumiem.

Python programmēšanas valodā rakstīta sertifikātu pārvaldības programma Certbot (agrāk letsencrypt) tiek instalēta klienta pusē (reģistrētāja tīmekļa serverī). To izmanto sertifikāta pasūtīšanai, domēna validācijas procesa veikšanai, sertifikāta instalēšanai, HTTPS šifrēšanas konfigurēšanai HTTP serverī un vēlākai regulārai sertifikāta atjaunošanai.

Let's Encrypt izsniedz sertifikātus, kas derīgi 90 dienas. Norādītais iemesls ir tas, ka šie sertifikāti "ierobežo kaitējumu no atslēgas kompromitēšanas un nepareizas izsniegšanas" un veicina automatizāciju.

 Atsauces 

 Ārējās saites 

  — oficiālā tīmekļa vietne
  — Certbot
 Let's Encrypt vietnē GitHub

Kategorija:Interneta drošība
Kategorija:Šifrēšana
Kategorija:Bezpeļņas organizācijas
Kategorija:2014. gadā dibinātās organizācijas
Kategorija:Linux Foundation projekti
Kategorija:Brīvā programmatūra