Let's Encrypt

***Let's Encrypt*** ir bezpeļņas sertifikācijas iestāde, ko pārvalda *[[Internet Security Research Group]]* (ISRG) un kas bez maksas izsniedz X.509 sertifikātus transporta slāņa drošības (TLS) šifrēšanai. Tā ir pasaulē lielākā sertifikācijas iestāde, ko izmanto vairāk nekā 700 miljoni tīmekļa vietņu ar mērķi nodrošināt visu vietņu drošību, izmantojot HTTPS protokolu.

Galvenie sponsori ir *[[Electronic Frontier Foundation]]* (EFF), *[[Mozilla Foundation]]*, *[[OVHcloud]]*, ''Cisco Systems'', *[[Facebook]]*, *[[Google Chrome]]*, *[[Internet Society]]*, ''AWS'', *[[nginx]]* un Geitsu fonds.

## Pārskats
Organizācijas misija ir radīt drošāku un privātumu respektējošu globālo tīmekli, veicinot HTTPS plašu ieviešanu. *Let's Encrypt* sertifikāti ir derīgi 90 dienas, un šajā laikā tos var atjaunot jebkurā brīdī. Atjaunošanu veic automatizēts process, kas aizstāj manuālu sertifikātu izveidi, validāciju, parakstīšanu, instalēšanu un atjaunošanu.

Novēršot maksājumus, tīmekļa serveru konfigurēšanu, e-pasta pārvaldību un sertifikātu atjaunošanas uzdevumus, tiek ievērojami samazināta TLS šifrēšanas iestatīšanas un uzturēšanas sarežģītība. Linux tīmekļa serverī pietiek izpildīt tikai divas komandas, lai iestatītu HTTPS šifrēšanu un iegūtu sertifikātus.

Pakalpojums izsniedz tikai domēna validācijas sertifikātus, jo tos var pilnībā automatizēt. Organizācijas validācijas un paplašinātās validācijas sertifikāti prasa cilvēka iesaisti, tāpēc *Let's Encrypt* tos nepiedāvā. Atbalstu ACME v2 protokolam un aizstājējzīmju sertifikātiem pievienoja 2018. gada martā.

## Vēsture
*Let's Encrypt* projektu 2012. gadā uzsāka divi *Mozilla* darbinieki — Džošs Āss (*Josh Aas*) un Ēriks Reskola (*Eric Rescorla*) — kopā ar Pīteru Ekersli (*Peter Eckersley*) no *Electronic Frontier Foundation* un Aleksu Haldermanu (*J. Alex Halderman*) no Mičiganas Universitātes. *Internet Security Research Group* — uzņēmumu, kas stāv aiz *Let's Encrypt* — reģistrēja 2013. gada maijā.

*Let's Encrypt* publiski izziņoja .  ACME protokolu oficiāli iesniedza IETF standartizēšanai.  ISRG un *[[Linux Foundation]]* paziņoja par sadarbību.

 *Let's Encrypt* izsniedza savu pirmo sertifikātu domēnam . Tajā pašā dienā ISRG iesniedza saknes programmas pieteikumus *[[Mozilla]]*, *[[Microsoft]]*, *[[Google]]* un ''Apple''.  starpposma sertifikātus papildus parakstīja sertifikācijas iestāde IdenTrust, kas jau bija plaši uzticama, tādējādi visus *Let's Encrypt* izsniegtus sertifikātus atzina visas galvenās pārlūkprogrammas.

Publiskā beta versija darbojās no  līdz . Pakalpojumu oficiāli laida klajā .

 *Let's Encrypt* paziņoja, ka izsniegusi miljardu sertifikātu. 2020. gada martā *Let's Encrypt* saņēma *[[Free Software Foundation]]* ikgadējo balvu par projektiem ar sociālu nozīmi.

2022. gada aprīlī *Let's Encrypt* saņēma Levčina balvu par "fundamentāliem uzlabojumiem sertifikātu ekosistēmā, nodrošinot bezmaksas sertifikātus visiem".

Līdz 2022. gada septembrim *Let's Encrypt* ziņoja par 234 miljoniem aktīvu (nederīguma termiņu nepārsniegušu) sertifikātu.

## Tehnoloģija

### Uzticamības ķēde

#### ISRG Root X1 (RSA)
2015. gada jūnijā *Let's Encrypt* paziņoja par sava pirmā RSA saknes sertifikāta ISRG Root X1 ģenerēšanu. Saknes sertifikātu izmantoja divu starpposma sertifikātu parakstīšanai, kurus arī papildus parakstīja sertifikācijas iestāde IdenTrust.

#### ISRG Root X2 (ECDSA)
 *Let's Encrypt* izlaida sešus jaunus sertifikātus: vienu jaunu ECDSA sakni ar nosaukumu *"ISRG Root X2"*, četrus starpposma sertifikātus un vienu papildus parakstu. Jauno *ISRG Root X2* papildus parakstīja ar *ISRG Root X1* — *Let's Encrypt* pašu saknes sertifikātu.

### ACME protokols
Izaicinājuma-atbildes protokolu, ko izmanto automatizētai reģistrācijai sertifikācijas iestādē, sauc par ACME (*Automatic Certificate Management Environment*). Tas var veikt vaicājumus tīmekļa serveriem vai DNS serveriem, kurus kontrolē domēns, kam jāizsniedz sertifikāts. Pamatojoties uz to, vai iegūtās atbildes atbilst gaidītajam, tiek nodrošināta reģistrētāja kontrole pār domēnu (domēna validācija).

Validācijas procesus izpilda vairākas reizes pa atsevišķiem tīkla ceļiem. DNS ierakstu pārbaudi veic no vairākām ģeogrāfiski dažādām vietām, lai apgrūtinātu DNS viltošanas uzbrukumus.

ACME mijiedarbība balstās uz JSON dokumentu apmaiņu, izmantojot HTTPS savienojumus. IETF izstrādātā specifikācija ir ierosinātais standarts RFC 8555.

### Programmatūras ieviešana
Sertifikācijas iestāde sastāv no programmatūras ar nosaukumu *Boulder*, kas uzrakstīta ''Go'' programmēšanas valodā un realizē ACME protokola servera pusi. To publicē kā brīvo programmatūru ar pirmkodu saskaņā ar *[[Mozilla Public License]]* 2. versijas nosacījumiem.

''Python'' programmēšanas valodā rakstīta sertifikātu pārvaldības programma *Certbot* (agrāk *letsencrypt*) tiek instalēta klienta pusē (reģistrētāja tīmekļa serverī). To izmanto sertifikāta pasūtīšanai, domēna validācijas procesa veikšanai, sertifikāta instalēšanai, HTTPS šifrēšanas konfigurēšanai HTTP serverī un vēlākai regulārai sertifikāta atjaunošanai.

*Let's Encrypt* izsniedz sertifikātus, kas derīgi 90 dienas. Norādītais iemesls ir tas, ka šie sertifikāti "ierobežo kaitējumu no atslēgas kompromitēšanas un nepareizas izsniegšanas" un veicina automatizāciju.

## Atsauces

## Ārējās saites

*  — oficiālā tīmekļa vietne
*  — *Certbot*
* ''Let's Encrypt'' vietnē GitHub