Let's Encrypt, le centre de certification à but non lucratif et géré par la communauté qui fournit des certificats gratuits à toutes les parties intéressées, a résumé les résultats de l'année dernière et discuté des projets pour 2019.
En 2018, le pourcentage de requêtes de pages via HTTPS est passé de 67 % à 77 %. Le projet Let's Encrypt a émis 87 millions de certificats couvrant environ 150 millions de domaines (il y a un an, 61 millions de domaines étaient couverts et la croissance devait atteindre 120 millions d'ici la fin de 2018).
En 2019, le service prévoit de surmonter la barrière des 120 millions de certificats actifs et 215 millions de sites.
À propos de Let's Encrypt
Ce projet vise à établir des connexions cryptées aux serveurs en éliminant les tâches de paiement, de configuration du serveur web, de gestion de la validation des e-mails et de renouvellement des certificats, ce qui a pour but de réduire considérablement la complexité de la mise en place et de la maintenance du chiffrement TLS.
Sur un serveur web Linux, l'exécution de deux commandes suffit pour configurer le chiffrement HTTPS et acquérir et installer les certificats en 20 à 30 secondes.
Pour cela, un progiciel a été inclus dans les dépôts de logiciels officiels Debian. Les efforts actuels des principaux développeurs de navigateurs tels que Mozilla et Google pour ignorer le protocole HTTP non chiffré comptent sur la disponibilité de Let's Encrypt.
Ce que Let's Encrypt a pour cette année
En 2019, il est prévu d'introduire un système de vérification multi-éléments, dans lequel la confirmation de l'autorité pour recevoir un certificat pour un domaine se fait par diverses vérifications effectuées à partir de sous-réseaux géographiquement répartis liés à différents systèmes autonomes.
Ce système minimisera les risques d'obtention de certificats pour les domaines d'autres personnes en effectuant des attaques ciblées qui redirigent le trafic en substituant des routes fictives via BGP.
Lors de l'utilisation d'un système de vérification multipoint, un attaquant doit réaliser simultanément le réacheminement des routes pour plusieurs systèmes fournisseurs autonomes avec des liaisons montantes différentes, ce qui est beaucoup plus compliqué que le réacheminement d'une seule route.
Parmi les autres plans, la formation du magazine public Transparence des certificats (CT) se démarque, dans laquelle tous les certificats émis seront reflétés.
Le registre public permettra de réaliser un audit indépendant de tous les changements et actions du centre de certification.
Pour se protéger contre la corruption des données rétrospectivement lorsqu'elles sont stockées dans l'enregistrement de transparence du certificat, une structure Merkle Tree est utilisée, dans laquelle chaque branche vérifie toutes les branches et tous les nœuds sous-jacents pour le hachage d'ensemble (arborescence).
En ayant un hachage final, l'utilisateur peut vérifier l'exactitude de l'historique complet des opérations, ainsi que l'exactitude des états passés de la base de données (le hachage de vérification racine du nouvel état de la base de données est calculé en tenant compte de l'état passé) .
Let's Encrypt veut étendre ses certificats
L'année prochaine, il est également prévu de mettre en service les certificats racine et intermédiaires créés avec l'algorithme ECDSA, plus performant que le RSA actuellement utilisé.
Les plans mentionnent également la préparation du module nginx pour automatiser la réception et la maintenance des certificats à l'aide du protocole ACME (Automatic Certificate Management Environment).
L'année dernière, un module similaire était déjà inclus dans Apache httpd.
L'infrastructure serveur actuelle de Let's Encrypt traite environ 5.5 milliards de requêtes par jour. Une augmentation de charge de 40 % est prévue pour 2019.
L'équipe est située dans deux centres de données. Les serveurs, le stockage, les HSM, les commutateurs et les pare-feu occupent 55 unités dans des racks.
L'infrastructure est maintenue par une équipe de six ingénieurs à temps plein. Le déploiement de systèmes de stockage plus rapides pour les serveurs avec SGBD est prévu pour 2019.
Le budget projeté pour 2019 sera de 3.6 millions de dollars, soit 600,000 2018 dollars de plus que le budget de XNUMX.
Les fonds proviennent principalement de l'aide financière de grands sponsors tels que Cisco, OVH, Mozilla, Google Chrome, l'Electronic Frontier Foundation et l'Internet Society.