Lets Encrypt 是由（ISRG）運營的非營利性證書頒發機構，免費提供傳輸層安全性協定（TLS）加密的 X509 證書。它是世界上最大的證書頒發機構，超過 3 億個網站使用其服務，其目標是確保所有網站的安全並使用 HTTPS。提供該服務的（ISRG）是一個公益組織，主要贊助商包括電子前哨基金會（EFF）、Mozilla 基金會、OVH、思科系統、Facebook、Google Chrome 網際網路協會、AWS、Nginx 和比爾及梅琳達蓋茨基金會。其他合作伙伴包括證書頒發機構、密西根大學以及 Linux 基金會。 概述 Lets Encrypt 的使命是透過推動 HTTPS 的廣泛應用，建立一個更加安全和尊重隱私的全球資訊網。Lets Encrypt 的證書有效期為 90 天，在此期間可以隨時更新。該專案採用自動化流程，旨在克服手動建立、驗證、數位簽章、安裝和續期等繁瑣步驟。該專案的目標是讓全球資訊網的加密連線普及化。透過省去支付費用、伺服器配置、驗證電子郵件管理和證書更新等任務，大大降低了設定和維護 TLS 加密的複雜性。 在 Linux 網路伺服器上，只需執行兩個命令即可設定 HTTPS 加密並獲取和安裝證書。 相關軟體包已納入 Debian 以及 Ubuntu 的官方軟體儲存庫。目前，Mozilla 和 Google 等主要瀏覽器開發商正在努力淘汰未加密的 HTTP，這得益於 Lets Encrypt 的廣泛使用。該專案有望使加密連線成為整個網際網路的預設狀態。 該服務僅頒發域名驗證型證書（DV），因為這些證書可以完全自動化簽發。組織驗證（OV）以及和擴充套件驗證證書（EV）都需要對註冊人的人工驗證，因此 Lets Encrypt 不提供這兩種證書。2018 年 3 月，Lets Encrypt 增加了對 ACME v2 和萬用字元證書的支援。Lets Encrypt 使用的域名驗證型證書（DV），雖然於 2002 年首次引入時曾引起爭議，但如今已成為廣泛接受的 SSL 證書頒發方法。 Lets Encrypt 希望透過儘可能透明的方式，既保護自身的可信度，又防範攻擊和操縱企圖。為此，定期釋出透明度報告，，公開記錄所有 ACME 記錄（如使用證書透明度），並儘可能使用開源和自由軟體。 歷史 Lets Encrypt 專案於 2012 年由兩位 Mozilla 的員工 Josh Aas 和 Eric Rescorla，以及電子前哨基金會的彼得埃克斯利和密西根大學的共同發起。負責 Lets Encrypt 的（ISRG），於 2013 年 5 月註冊成立。 Lets Encrypt 專案於 2014 年 11 月 18 日正式對外宣佈。 2015 年 1 月 28 日，ACME 協議正式提交給 IETF 進行標準化。2015 年 4 月 9 日，ISRG 和 Linux 基金會宣佈合作。根證書和中級證書在 2015 年 6 月初生成。 2015 年 6 月 16 日，服務的最終啟動時間表公佈，預計將於 2015 年 7 月 27 日那一週頒發第一個證書，隨後進行有限的發證期以測試安全性和可擴充套件性。原計劃服務的全面可用性將於 2015 年 9 月 14 日那一週開始。2015 年 8 月 7 日，啟動時間表被修訂，以提供更多時間確保系統安全和穩定，計劃於 2015 年 9 月 7 日那一週頒發第一個證書，並在 2015 年 11 月 16 日那一週全面開放服務。 2015 年 9 月 14 日，Lets Encrypt 頒發了其首個證書，域名為。同日，ISRG 向 Mozilla、微軟、Google 以及蘋果公司提交了根證書計劃申請。 2015 年 10 月 19 日，中級證書由交叉簽署，使得 Lets Encrypt 頒發的所有證書都被所有主流瀏覽器信任。 2015 年 11 月 12 日，Lets Encrypt 宣佈將全面開放服務的時間推遲，首次公開測試版將於 2015 年 12 月 3 日開始。 公開測試版從 2015 年 12 月 3 日持續到 2016 年 4 月 12 日，並於 2016 年 4 月 12 日正式上線。 2020 年 3 月 3 日，Lets Encrypt 宣佈由於其證書授權軟體中的一個漏洞，必須在 3 月 4 日撤銷超過 300 萬個證書。透過與軟體供應商合作並聯系網站運營商，Lets Encrypt 在截止日期前成功更新了 170 萬個受影響的證書。由於剩餘證書的安全風險較低且將在接下來的 90 天內過期，他們決定不撤銷這些證書。這次大規模撤銷事件顯著提高了全球撤銷率。 2020 年 3 月，Lets Encrypt 獲得了自由軟體基金會年度社會公益專案獎。Lets Encrypt Jim Meyering and Clarissa Lima Borges receive FSFs 2019 Free Software Awards Free Software Foundation 2020 2020 年 2 月 27 日，Lets Encrypt 宣佈已頒發了十億個證書。 2022 年 4 月，Lets Encrypt 因 對證書生態系統的根本性改進，為所有人提供免費的證書 而獲得。 截至 2022 年 9 月，Lets Encrypt 報告稱已頒發了 234 億個有效（未過期）證書。 技術 信任鏈 ISRG Root X1 RSA 2015 年 6 月，Lets Encrypt 宣佈生成首張 RSA 加密演算法根證書「ISRG Root X1」。該根證書用於簽署兩個中間證書，同時這些中間證書也由證書頒發機構交叉簽名。其中一箇中間證書用於簽發證書，而另一個作為備用，以防第一個中間證書出現問題。由於證書已經得到主要網路瀏覽器的廣泛信任，因此即使在瀏覽器供應商將（ISRG）根證書作為之前，Lets Encrypt 的證書通常也能得到驗證和接受。 ISRG Root X2 ECDSA Lets Encrypt 的開發者早在 2015 年就計劃生成一個 ECDSA 根金鑰，但計劃推遲到 2016 年初，隨後推遲到 2019 年，最終推遲到 2020 年。2020 年 9 月 3 日，Lets Encrypt 釋出了六個新證書：一個新的 ECDSA 根證書「ISRG Root X2」，四個中間證書和一個交叉簽名。新的根證書「ISRG Root X2」由 Lets Encrypt 自己的根證書 ISRG Root X1 交叉簽名。Lets Encrypt 沒有為新的中間證書部署 OCSP，而是計劃完全依賴證書吊銷列表 CRLs 來撤銷受損證書，並透過縮短證書有效期來減少證書受損的風險。 ACME 協議 用於自動註冊證書頒發機構的稱為「自動憑證更新環境（ACME）」。它可以查詢由證書涵蓋的域控制的 Web 伺服器或 DNS 伺服器，並根據得到的響應是否符合預期，以確保註冊者對域的控制（域驗證）。ACME 客戶端軟體可以設定一個專用的 TLS 伺服器，由 ACME 證書頒發機構伺服器透過伺服器名稱指示（SNI）的方式進行域驗證（DVSNI），或者可以使用鉤子向現有的 Web 和 DNS 伺服器釋出響應。 驗證過程透過不同的網路路徑進行多次執行，並在多個不同的地理位置上進行檢查 DNS 條目，從而使 DNS 欺騙攻擊更難實施。 ACME 互動基於透過 HTTPS 連線交換 JSON 文件。在 GitHub 上有一份規範草案，並已提交給網際網路工程任務組（IETF）作為網際網路標準的。 Lets Encrypt 實現了自己的 ACME 協議草案。與此同時，他們還推動標準化。這一努力促成了 2019 年 5 月釋出的「提案標準（proposed standard）」（RFC8555），該標準引入了重大變革，因此被稱為 ACMEv2。Lets Encrypt 實現了這一新版本，並開始推動現有客戶端進行升級。透過 ACMEv1 API 的的間歇性停機，Lets Encrypt 推動使用者進行升級，並在「ACMEv1 生命週期結束計劃」中公佈了生命週期結束的日期和各個階段。自 2019 年 11 月 8 日起，ACMEv1 不再接受新賬戶註冊。自 2020 年 6 月起，ACMEv1 停止接受新域名驗證。從 2021 年 1 月起，ACMEv1 經歷了 24 小時的停機。最終，ACMEv1 API 於 2021 年 6 月 1 日完全關閉。 軟體部署 證書頒發機構由一個名為 Boulder 的軟體組成，該軟體用 Go 編寫，實現了 ACME 協議的伺服器端。該軟體根據 Mozilla 公共許可證 MPL 第 2 版的條款，以自由軟體的形式釋出原始碼。它提供了一個可以透過 TLS 加密通道訪問 RESTful 的 API。 客戶端會安裝一個名為「certbot」（前身為「letsencrypt」）的證書管理程式，該程式根據 Apache 許可證授權，並由 Python 編寫。這個程式用於申請證書，進行域名驗證過程，安裝證書，配置 HTTP 伺服器中的 HTTPS 加密，並定期更新證書。 安裝並同意使用者許可證後，只需執行一條命令即可安裝有效證書。除此之外，還可以啟用其他選項，如 OCSP 裝訂或 HTTP 嚴格傳輸安全（HSTS）。自動設定最初只適用於 Apache 以及 Nginx。 Lets Encrypt 簽發的證書有效期為 90 天，理由是這樣做會「限制金鑰洩露和錯誤簽發造成的損失」，並鼓勵自動化。 最初，Lets Encrypt 開發了自己官方的 ACME 客戶端「Certbot」。現在已移交給電子前哨基金會，其名稱從「letsencrypt」更改為「certbot」。社群開發了大量適用於多種環境的 ACME 客戶端和專案。 中國大陸遮蔽 2020 年 4 月 2 日，防火長城對 Lets Encrypt 的 OCSP 伺服器（ocspintx3letsencryptorg）所使用的 Akamai CDN 域名 a771dscqakamainet 進行了 DNS 汙染，導致部分瀏覽器首次訪問使用 Lets Encrypt 證書的網站時無法完成 OCSP 檢查，載入緩慢。 2020 年 11 月 20 日，Lets Encrypt 推出了 R3 中間證書，使用了新的 OCSP 伺服器地址（r3olencrorg），問題得到解決。 更多 HTTPS Everywhere Lets Encrypt Stats Lets Encrypt 逐日簽發證書的互動式圖表 延伸閱讀 參考資料 外部連結 GitHub 上的程式碼庫 塞斯舒恩 Libre Planet 2015 演講： Lets Encrypt pdes talk on Lets Encrypt 於 CCCamp 2015 Lets Encrypt 頒發的證書列表 Category2014 年建立的網站 Category 證書頒發機構 Category 傳輸層安全協議 CategoryLinux 基金會專案 Category 保密通訊 CategoryMozilla