Открыть сервис
Главная → Блог → Let's Encrypt

Let's Encrypt

Let's Encrypt — это некоммерческий центр сертификации, предоставляющий бесплатные цифровые сертификаты X.509 для протокола TLS. Проект управляется некоммерческой организацией Internet Security Research Group (ISRG) и ставит своей целью упрощение и удешевление перехода веб-сайтов на шифрование HTTPS, что способствует повышению безопасности и конфиденциальности в интернете. Let's Encrypt является одним из крупнейших центров сертификации в мире по количеству выданных сертификатов.

История

Проект Let's Encrypt был анонсирован в 2012 году группой разработчиков и исследователей, в которую входили представители Mozilla, Electronic Frontier Foundation (EFF), Университета Мичигана и компании Akamai. Основной проблемой, которую стремились решить создатели, была высокая стоимость и сложность получения и поддержания SSL/TLS-сертификатов, что препятствовало массовому внедрению HTTPS.

В 2014 году была основана организация Internet Security Research Group (ISRG), которая взяла на себя управление проектом. В 2015 году началось публичное бета-тестирование, а в апреле 2016 года Let's Encrypt официально запустился в эксплуатацию. К концу 2016 года проект выдал более 10 миллионов сертификатов. К 2020 году количество выданных сертификатов превысило 1 миллиард, а к 2023 году — 3 миллиарда.

Принцип работы

Let's Encrypt использует протокол Automated Certificate Management Environment (ACME), который автоматизирует процесс получения, проверки и продления сертификатов. ACME-клиент, установленный на сервере, взаимодействует с API центра сертификации для выполнения следующих шагов:

  1. Регистрация: Клиент регистрируется в системе Let's Encrypt, предоставляя контактный email-адрес.
  2. Запрос сертификата: Клиент отправляет запрос на выпуск сертификата для конкретного доменного имени.
  3. Проверка владения доменом (Domain Validation): Let's Encrypt проверяет, что запрашивающий действительно контролирует домен. Для этого используются два основных метода:
  • HTTP-01: На сервер помещается файл с определённым содержимым по адресу http://<домен>/.well-known/acme-challenge/<токен>`. Сервер Let's Encrypt запрашивает этот файл по HTTP.
  • DNS-01: В DNS-запись домена добавляется TXT-запись с определённым значением. Сервер Let's Encrypt проверяет наличие этой записи.
  • TLS-ALPN-01: Проверка через протокол TLS с использованием расширения ALPN.
  1. Выпуск сертификата: После успешной проверки Let's Encrypt выпускает сертификат и отправляет его клиенту.
  2. Автоматическое продление: Сертификаты Let's Encrypt имеют срок действия 90 дней. ACME-клиент автоматически продлевает их, обычно за 30–60 дней до истечения, что позволяет избежать ручного вмешательства.

Ключевые особенности

Бесплатность

Основное отличие Let's Encrypt от коммерческих центров сертификации — полная бесплатность для всех пользователей. Проект финансируется за счёт грантов, пожертвований и спонсорской поддержки со стороны компаний, заинтересованных в безопасности интернета (например, Mozilla, Google, Facebook (организация признана экстремистской и запрещена в РФ), Cisco, Amazon Web Services).

Автоматизация

Благодаря протоколу ACME весь процесс получения и продления сертификатов может быть полностью автоматизирован. Это избавляет администраторов от необходимости вручную генерировать CSR, загружать файлы и настраивать веб-сервер.

Открытость

Весь код проекта, включая серверное ПО (Boulder) и клиентские утилиты (Certbot, acme.sh), является открытым и распространяется под лицензией Apache 2.0. Это позволяет любому желающему проверить код, внести свой вклад или развернуть собственный центр сертификации на базе Let's Encrypt.

Ограничения

Let's Encrypt выпускает только сертификаты с проверкой домена (Domain Validation, DV). Сертификаты с проверкой организации (Organization Validation, OV) или расширенной проверкой (Extended Validation, EV) не предоставляются. Также существуют ограничения на количество сертификатов, выдаваемых на один домен в неделю (обычно 50).

Популярные ACME-клиенты

Для работы с Let's Encrypt существует множество ACME-клиентов, наиболее популярные из которых:

  • Certbot: Разработан EFF, является официальным клиентом, рекомендованным проектом. Поддерживает большинство веб-серверов (Apache, Nginx, HAProxy) и операционных систем.
  • acme.sh: Лёгкий клиент, написанный на shell-скриптах. Работает на большинстве Unix-подобных систем, поддерживает множество DNS-провайдеров для автоматической проверки через DNS-01.
  • Caddy: Веб-сервер, который автоматически получает и обновляет сертификаты Let's Encrypt без необходимости настройки отдельного клиента.
  • Traefik: Обратный прокси-сервер и балансировщик нагрузки, который также автоматически управляет сертификатами Let's Encrypt.

Влияние на интернет

Запуск Let's Encrypt оказал значительное влияние на распространение HTTPS. До 2016 года доля зашифрованного трафика в интернете составляла около 40%. К 2023 году этот показатель превысил 95% для многих крупных сайтов. Проект позволил небольшим сайтам, блогам и интернет-магазинам бесплатно и легко внедрить шифрование, что повысило общую безопасность и конфиденциальность пользователей в сети.

Критика и ограничения

Несмотря на успех, Let's Encrypt подвергается критике по нескольким причинам:

  • Отсутствие OV и EV сертификатов: Некоторые организации, особенно в сфере финансов и электронной коммерции, требуют сертификаты с более высоким уровнем проверки, которые Let's Encrypt не предоставляет.
  • Короткий срок действия: 90-дневный срок действия сертификатов требует надёжной автоматизации продления. В случае сбоя автоматизации сайт может стать недоступным по HTTPS.
  • Риск злоупотреблений: Бесплатные сертификаты могут использоваться злоумышленниками для фишинговых сайтов и вредоносных ресурсов, так как процедура проверки домена минимальна. Однако Let's Encrypt активно сотрудничает с правоохранительными органами и блокирует сертификаты для вредоносных доменов.
  • Зависимость от одного центра: Хотя Let's Encrypt является крупнейшим, существует риск, что его сбой или компрометация повлияют на значительную часть интернета. Для снижения этого риска проект использует несколько корневых сертификатов и резервные центры обработки данных.

Интересные факты

  • Название «Let's Encrypt» является игрой слов: «encrypt» (шифровать) и «encrypt» (как сокращение от «encrypt certificate»).
  • Проект использует алгоритм RSA для корневых сертификатов и ECDSA для промежуточных и конечных сертификатов, что обеспечивает высокую производительность.
  • В 2020 году Let's Encrypt стал первым центром сертификации, который выпустил более 1 миллиарда сертификатов за один год.
  • Сертификаты Let's Encrypt поддерживаются всеми современными браузерами и операционными системами, включая Windows, macOS, Linux, Android и iOS.

Источники

  • Официальный сайт проекта Let's Encrypt (letsencrypt.org)
  • Документация протокола ACME (RFC 8555)
  • Статья «Let's Encrypt: An Automated Certificate Authority to Encrypt the Entire Web» (2019)
  • Отчёты Internet Security Research Group (ISRG)

BFOmetr — база данных и аналитика по компаниям России.

На главную BFOmetr →

Похожие материалы