Let's Encrypt, niezależne, kontrolowane przez społeczność centrum certyfikacji , które zapewnia bezpłatne certyfikaty wszystkim zainteresowanym, podsumowało wyniki z ubiegłego roku i omówiło plany na 2019 rok.
W 2018 roku odsetek żądań stron przez HTTPS wzrósł z 67% do 77%. Projekt Let's Encrypt wydał 87 milionów certyfikatów obejmujących około 150 milionów domen (rok wcześniej objętych było 61 milionów domen, a przewidywano, że do końca 2018 roku liczba ta wzrośnie do 120 milionów).
W 2019 roku serwis planuje pokonać barierę 120 mln aktywnych certyfikatów i 215 mln serwisów.
O Let's Encrypt
Celem projektu jest nawiązanie szyfrowanych połączeń z serwerami poprzez wyeliminowanie zadań związanych z płatnościami, konfiguracją serwera WWW, zarządzaniem weryfikacją poczty e-mail i odnawianiem certyfikatów, co ma znacznie uprościć konfigurację i utrzymywanie szyfrowania TLS.
Na serwerze WWW z systemem Linux wystarczy uruchomić dwa polecenia, aby skonfigurować szyfrowanie HTTPS oraz uzyskać i zainstalować certyfikaty w ciągu 20–30 sekund.
W tym celu pakiet oprogramowania został dołączony do oficjalnych repozytoriów oprogramowania Debiana. Obecne wysiłki głównych twórców przeglądarek, takich jak Mozilla i Google, mające na celu zignorowanie niezaszyfrowanego protokołu HTTP, liczą się na dostępność Let's Encrypt.
Co Let's Encrypt ma na ten rok
W 2019 roku planowane jest wprowadzenie wieloelementowego systemu weryfikacji, w którym potwierdzenie organu do otrzymania certyfikatu dla domeny odbywa się poprzez różne weryfikacje wykonywane z rozproszonych geograficznie podsieci połączonych z różnymi systemami autonomicznymi.
System ten zminimalizuje ryzyko uzyskania certyfikatów dla domen innych osób poprzez przeprowadzanie ukierunkowanych ataków, które przekierowują ruch poprzez zastępowanie fikcyjnych tras przez BGP.
Korzystając z wielopunktowego systemu weryfikacji, osoba atakująca będzie musiała jednocześnie przekierować trasy dla kilku autonomicznych systemów dostawców z różnymi łączami uplink, co jest znacznie bardziej skomplikowane niż zmiana trasy pojedynczej trasy.
Z pozostałych planów wyróżnia się powstanie magazynu publicznego „Przejrzystość certyfikatów” (CT), w którym zostaną odzwierciedlone wszystkie wydane certyfikaty.
Rejestr publiczny zapewni możliwość przeprowadzenia niezależnego audytu wszystkich zmian i działań ośrodka certyfikacji.
Aby chronić dane z perspektywy czasu przed uszkodzeniem przechowywanych w rekordzie Certificate Transparency, używana jest struktura Merkle Tree, w której każda gałąź sprawdza wszystkie podstawowe gałęzie i węzły pod kątem mieszania zestawu (drzewa).
Mając końcowy hash, użytkownik może zweryfikować poprawność całej historii operacji, a także poprawność przeszłych stanów bazy danych (hash weryfikujący root nowego stanu bazy danych jest obliczany z uwzględnieniem stanu przeszłego).
Let's Encrypt chce rozszerzyć swoje certyfikaty
W przyszłym roku planowane jest również uruchomienie certyfikatów root i pośrednich utworzonych algorytmem ECDSA, wydajniejszych niż obecnie stosowany RSA.
W planach jest także przygotowanie modułu nginx, który umożliwi automatyzację odbioru i obsługi certyfikatów z wykorzystaniem protokołu ACME (Automatic Certificate Management Environment).
W zeszłym roku podobny moduł był już zawarty w serwerze httpd Apache.
Obecna infrastruktura serwerowa Let's Encrypt przetwarza około 5.5 miliarda żądań dziennie. W 2019 roku prognozowany jest wzrost obciążenia o 40%.
Zespół znajduje się w dwóch centrach danych. Serwery, pamięci masowe, moduły HSM, przełączniki i zapory sieciowe zajmują 55 jednostek w szafach.
Infrastrukturą zarządza zespół sześciu pełnoetatowych inżynierów. Wprowadzenie szybszych systemów pamięci masowej dla serwerów z systemem DBMS planowane jest na 2019 rok.
Planowany budżet na 2019 r. Wyniesie 3.6 mln USD, czyli o 600,000 2018 USD więcej niż budżet na XNUMX r.
Fundusze są pozyskiwane przede wszystkim z pomocy finansowej głównych sponsorów, takich jak Cisco, OVH, Mozilla, Google Chrome, Electronic Frontier Foundation i Internet Society.