Let's Encrypt

Cílem projektu je, aby bylo šifrované spojení ve World Wide Webu považováno za normální. V říjnu 2016 oznámila Mozilla Corporation, že podle jejich údajů z prohlížeče Mozilla Firefox přesáhl podíl navštívených stránek přes HTTPS protokol 50 %.[3] V únoru 2017 bylo vydáno podobné prohlášení projektu Let's Encrypt.[4][5]

Odbouráním plateb, konfigurací webového serveru, ověřovacích e-mailů a řešení expirovaných certifikátů má projekt znatelně snížit složitost nastavování a správy TLS šifrování.[6] Na Linuxovém webovém serveru by mělo ke zprovoznění HTTPS šifrování stačit vykonání pouze dvou příkazů. Celý proces získání a instalace certifikátu by tak měl zabrat něco mezi 20 až 30 sekundami.[7][8] Za tímto účelem se také aktuálně pracuje na zahrnutí softwarového balíčku do oficiálních repozitářů systému Debian.[9] Současná iniciativa hlavních poskytovatelů webových prohlížečů na zavržení nešifrované HTTP komunikace spoléhá na dostupnost služby Let's Encrypt.[10][11] Projektu je také všeobecně přiznáván potenciál k rozšíření šifrované komunikace.[12]

Bude vydáváno pouze tzv. doménové ověření (DV, anglicky Domain Validated). Ověření organizace (OV, anglicky Organization Validated) ani rozšířené ověření (EV, anglicky Extended Validation) nebude nabízeno.[13]

Tím, že bude Let's Encrypt co nejvíce otevřený, chce docílit jak ochrany své důvěryhodnosti, tak se také bránit proti pokusům o útok či manipulaci. Za tímto účelem publikuje pravidelně zprávy o transparentnosti,[14] veřejně zaznamenává všechny transakce a používá co nejvíce otevřených standardů a softwaru.[7]

Název programu, který tvoří samotnou certifikační autoritu je „Boulder“, což je skrytým odkazem na produkt fiktivní společnosti Acme Corporation z kreslených grotesek od studia Looney Tunes.

Let's Encrypt je služba poskytovaná veřejnou příspěvkovou organizací Internet Security Research Group (ISRG). Hlavními sponzory jsou Electronic Frontier Foundation (EFF), Mozilla Foundation, Akamai, Cisco Systems, OVH, Chrome. Mezi další partnery patří jiná certifikační autorita IdenTrust, University of Michigan, Stanford Law School, Linux Foundation[15] a také Stephen Kent z Rayethon/BBN Technologies a Alex Polvi z CoreOS.[7]

Let's Encrypt vlastní kořenový digitální certifikát podepsaný algoritmem RSA, který je uložen na hardwarovém zařízení a není přímo používán. Později je v plánu jeho náhrada za certifikát zašifrovaný pomocí ECDSA. Kořenový certifikát bude užíván k podepisování dvou certifikátů zprostředkujících certifikační autority, které jsou cross-signed certifikační autoritou IdenTrust.[16] Jeden z nich bude používán pro podepisování vydaných certifikátů, druhý bude sloužit jako záloha v případě problémů s prvním. Díky tomu, že je certifikát IdenTrust předinstalován ve všech hlavních prohlížečích, budou moci být vydané certifikáty ověřovány a přijímány bez nutnosti instalace jakéhokoliv rozšíření.[17] V dlouhodobém horizontu je v plánu dostat kořenový certifikát Let's Encrypt přímo do systémů i aplikací, což bylo zahájeno v roce 2016.[18]

Implementace softwaru

Domain selection dialogue

Certifikační autoritu tvoří program nazývaný Boulder, napsaný v jazyce Go, který na straně serveru implementuje protokol ACME. Jeho zdrojový kód je zveřejněn pod licencí Mozilla Public License (MPL) ve verzi 2.0.[22] Tento program poskytuje REST API, ke kterému se dá přistoupit s pomocí TLS.

Klientský program pro správu certifikátů, který je nainstalovaný na webovém serveru, se jmenuje letsencrypt. Je napsaný v jazyce Python a uvolněný pod Apache licencí.[23] Slouží k řízení ověřovacího procesu domén, k instalaci certifikátů, konfigurování HTTPS šifrování na HTTP serveru a bude používán také k automatickému prodlužování certifikátu.[24][7] Po instalaci a souhlasu s uživatelskou licencí stačí k instalaci validního certifikátu jediný příkaz. Povoleny mohou být i další možnosti jako OCSP stapling nebo HTTP Strict Transport Security.[19] Automatická instalace certifikátu bude zpočátku fungovat pouze na webovém serveru Apache a nginx.

Začátky služby leží v projektu od Electronic Frontier Company, vznikajícím ve spolupráci s University of Michigan, a nezávislým projektem od společnosti Mozilla, které byly spojeny. V roce 2014 byla založena mateřská organizace Internet Security Research Group (ISRG). Spuštění Let's Encrypt bylo původně naplánováno na 18. listopadu 2014.[25]

Dne 28. ledna 2015 byl protokol ACME oficiálně odeslán do IETF ke standardizaci.[26] Dne 9. dubna 2015 pak přislíbila spolupráci Linux Foundation.[15] Kořenový certifikát a certifikáty zprostředkující certifikační autority byly vygenerovány na začátku měsíce června.[17] Dne 16. června byl oznámen poslední plán na spuštění, který počítal s tím, že první certifikát bude vydán někdy okolo 27. července 2015, a bude následován limitovaným vydáváním certifikátů k otestování bezpečnosti a škálovatelnosti celé služby. Spuštění veřejné dostupnosti služby je pak naplánováno někdy okolo 14. září 2015, ale to pouze za předpokladu, že vše půjde tak, jak je naplánováno.[27] Dne 7. srpna bylo pozměněno datum spuštění za účelem získání více času pro zajištění bezpečnosti a stability. První certifikát měl být vygenerován 7. září 2015 následovaný veřejnou dostupností služby okolo 16. listopadu 2015.[28] Cross signature od IdenTrust má být dostupný ihned poté, co se Let's Encrypt otevře veřejnosti.

Dne 14. září 2015 vydala služba Let's Encrypt svůj první certifikát, který byl vystavený pro doménu helloworld.letsencrypt.org. Ve stejný den odeslala ISRG jejich aplikace do společností Mozilla, Microsoft, Google a Apple.[29]

• 12. září 2015 – Limited Beta
• 3. prosince 2015 – Public Beta
• 8. března 2016 – 1 000 000. certifikát