Pięć miesięcy Let's Encrypt: Oto dzisiejszy Urząd Certyfikacji z Kalifornii

Tobias Schüring Ostatnia aktualizacja 21.01.2020
7 Min.
Organ certyfikujący Organ Lets

Darmowe certyfikaty SSL od Let's Encrypt zapoczątkowały ważny rozwój na niemieckim rynku hostingowym: Ochrona danych osobowych na własnej stronie internetowej jest obecnie prawie wszędzie bezpłatna. Ale jak do tej pory radziła sobie inicjatywa, która jako Urząd Certyfikacji wystawia darmowe certyfikaty SSL dla każdego? Szczegółowe spojrzenie na rozwój.

Certyfikat SSL niesie ze sobą wiele korzyści, najpóźniej od czasu wprowadzenia standardu HTTP/2. Dane osobowe są nie tylko niezawodnie zaszyfrowane, ale również strona ładuje się szybciej. Ponadto HTTPS - bezpieczna odmiana Hypertext Transfer Protocol - sprawia, że strony internetowe są odporne na przyszłość. Bo 8 września Google ogłosiło, że od 2017 roku Chrome będzie oznaczał strony bez certyfikatu SSL jako niezabezpieczone. Google w ten sposób zbliża się coraz bardziej do swojego samozwańczego celu "HTTPS wszędzie".

Urząd certyfikacji Let's Encrypt - Oznaczenie HTTPS w Google Chrome
Dzięki nowemu wyświetlaczowi, nawet strony całkowicie godnych zaufania dostawców byłyby opatrzone czerwonym sygnałem ostrzegawczym. W przypadku mediów takich jak t3n, nie jest to zazwyczaj problemem, ponieważ czytelnicy ufają temu medium. Ostrzeżenie Google może jednak kosztować mniej znane strony czytelników i klientów.

Ważną rolę w tym kontekście odgrywa Let's Encrypt. Inicjatywa z Kalifornii wydaje darmowe certyfikaty SSL dla wszystkich. Dzięki temu każdy operator strony może bezpłatnie i stosunkowo łatwo założyć SSL. Amerykański urząd certyfikacji ma już wpływ na niemiecki rynek usług hostingowych. Ponieważ wielu hostingodawców już oferują darmowe certyfikaty. Niektóre z nich mają zintegrowany Let's Encrypt, inne oferują darmowe certyfikaty od innych dostawców.

Sukces Let's Encrypt jest więc istotny nie tylko dla operatorów stron, ale także dla niemieckiego rynku hostingowego.

Do tej pory Let's Encrypt wydało ponad 10 000 000 certyfikatów

Od czasu oficjalnego uruchomienia Let's Encrypt w maju tego roku, kamienie milowe pojawiają się gęsto i szybko: Dwa miliony, pięć milionów, a ostatnio dziesięciomilionowy certyfikat. Liczby te nie są jednak równoznaczne z dziesięcioma milionami witryn zaszyfrowanych za pomocą certyfikatów Let's Encrypt. Należy raczej podejść do rzeczywistej liczby z kilku stron.

Już 23 kwietnia 2016 roku, a więc na kilka dni przed oficjalnym startem, Let's Encrypt zdołał wydać swój dwumilionowy certyfikat. Zaledwie 19 dni później, 9 maja, osiągnięto granicę trzech milionów. Trzeciego czerwca było już cztery miliony certyfikatów, a próg pięciu milionów został przekroczony 19 czerwca. Pod koniec lipca było ich siedem milionów, a obecnie Let's Encrypt wydał 10,86 mln certyfikatów, czyli ponad dwa razy więcej niż w połowie czerwca. To brzmi jak genialny początek. Ale co tak naprawdę kryje się za tą liczbą?

Liczba darmowych certyfikatów SSL od Urzędu Certyfikacji Let's Encrypt
W sierpniu i wrześniu szczególnie mocno wzrosła liczba certyfikatów wydawanych przez Let's Encrypt. Wynika to prawdopodobnie z 90-dniowego okresu ważności darmowych certyfikatów SSL. Oficjalna premiera rynkowa miała miejsce w maju 2016 r. Źródło: https://letsencrypt.org/stats/

Z dziesięciu milionów wydanych certyfikatów prawie połowa straciła ważność

Liczba 10.000.000 początkowo niewiele mówi. Ponieważ zawiera śmieci danych: Odnowienia certyfikatów, wielokrotne certyfikacje i wygasłe certyfikaty są liczone. Jeśli dodatkowo wiesz, że cykl odnawiania certyfikatów Let's Encrypt wynosi 90 dni, liczba ta staje się coraz bardziej względna.

Bardziej informatywna jest liczba aktualnie ważnych certyfikatów: Let's Encrypt liczy obecnie 5,51 miliona ważnych certyfikatów. Nie oznacza to jednak, że faktycznie istnieje tak wiele stron, które są szyfrowane za pomocą Let's Encrypt. Ale liczba ta daje już pierwszą przybliżoną wartość.

Ważne certyfikaty Urzędu Certyfikacji Let's Encrypt
Widać wyraźnie, że liczba ważnych certyfikatów Let's Encrypt wzrosła tylko nieznacznie z sierpnia na wrzesień. We wrześniu nastąpiła wręcz stagnacja. Świadczy to również o tym, że wiele certyfikatów zostało odnowionych w sierpniu i wrześniu. Źródło: https://letsencrypt.org/stats/

7,88 proc. certyfikatów dotyczy stron z końcówką .de

Według własnej dokumentacji Let's Encrypts, 7,88 procent certyfikatów działa na domenach najwyższego poziomu .de. Nie określono jednak próby i populacji, na których opiera się ta liczba lub do których można ją odnieść. To utrudnia interpretację, ponieważ nic nie wiadomo o tym, w jaki sposób uzyskano tę liczbę. Można chyba założyć, że jest to liczba stron, z których Let's Encrypt zna TLD.

Można jednak wyciągnąć z tego wniosek: Z liczonymi 28 083 stronami, domena najwyższego polscy poziomu jest najsilniejszym kodem kraju TLD. Po nim następuje .ru, .uk, .fr, a także .cz. Większą popularnością cieszą się specyficzne dla danego kraju TLD takie jak .com, ale także .ninja, z których jednostka certyfikująca liczy 30 967.

Udziały TLD w znanych certyfikatach Let's Encrypt
Liczba certyfikatów w podziale na domeny najwyższego poziomu. .de jest obecnie najpopularniejszą domeną TLD. Popularne są również .ninja, .me oraz .io. Wartości te prawdopodobnie odnoszą się do wszystkich stron, których TLD są znane Urzędowi Certyfikacji. Źródło: https://letsencrypt.org/stats/

Let's Encrypt na 14 miejscu na świecie

Innym dobrym źródłem są dane z w3techs.com. Serwis zbiera, na podstawie zestawienia dziesięciu milionów najlepszych stron internetowych na świecie publikowanego przez Alexa, udziały określonych technologii internetowych. Odpowiednie strony internetowe są przeszukiwane specjalnie pod kątem określonych technologii. Jeśli uda się trafić, jest to uwzględniane w liczeniu. Więcej na temat użytej próbki można dowiedzieć się tutaj.

Według w3techs, Let's Encrypt jest obecnie wciąż bardzo małym urzędem certyfikacji z udziałem w rynku wynoszącym 0,185% i znajduje się w dolnej trzeciej części rynku. Nawet jeśli spojrzeć tylko na urzędy certyfikacji, które mają mniej niż jeden procent udziału w rynku, Let's Encrypt kończy się na dole listy. Zarówno pod względem bezwzględnego wykorzystania, jak i udziału w rynku.

Udział w rynku Urzędu Certyfikacji Let's Encrypt
Od czasu rozpoczęcia bety Let's Encrypt jest w stanie systematycznie zdobywać udział w rynku. Jednak na wielkie uderzenie, czyli przejście do wzrostu wykładniczego, trzeba jeszcze długo poczekać. Źródło: https://w3techs.com/technologies/details/sc-letsencrypt/all/all

Natomiast IdenTrust, urząd certyfikacji, który dostarcza certyfikaty główne dla Let's Encrypt, znalazł się na trzecim miejscu. To jest dobry znak. Jeśli bowiem źródło głównych certyfikatów cieszy się wysoką wiarygodnością, to usługi oparte na tych certyfikatach również mają tendencję do bycia godnymi zaufania.

Urząd certyfikacji Let's Encrypt w porównaniu z innymi urzędami certyfikacji
Let's Encrypt jest wyraźnie daleko w tyle, na trzecim, ostatnim miejscu wśród urzędów certyfikacji. Z kolei IdenTrust może zapewnić sobie trzecie miejsce. Należy jednak zauważyć, że nie są dostępne żadne informacje na temat kompletności tej listy świadczeniodawców. Źródło: https://w3techs.com/technologies/overview/ssl_certificate/all

Szczególnie mniejsze strony z mniejszym ruchem używają Let's Encrypt

Największą wadą Let's Encrypt w porównaniu do płatnych urzędów certyfikacji jest wciąż bardzo ograniczony wybór certyfikatów. Dzieje się tak dlatego, że amerykański urząd certyfikacji oferuje jak na razie tylko jeden rodzaj certyfikatu: certyfikat walidowany domenowo. Rozszerzone funkcje, takie jak słynna zielona linia adresu i rozszerzone walidacje - np. firmy lub organizacji - nie są obecnie możliwe w Let's Encrypt. Oczywiście nie oznacza to, że certyfikaty Let's Encrypt są mniej bezpieczne, a jedynie, że zakres ich funkcji jest ograniczony.

Przykład certyfikacji OV
Let's Encrypt, na przykład, nie może wydawać takich certyfikatów. Obecnie nadal nie wiadomo, czy wyższe poziomy walidacji kiedykolwiek się pojawią.

Implementacja rozszerzonych funkcji nie jest obecnie w zasięgu wzroku. Wynika to z faktu, że walidacja organizacji i firm wymaga roboczogodzin, a te z kolei kosztują. Szczegółową dyskusję na ten temat można znaleźć również na forum Let's Encrypt.

Ergo, głównie mniejsze strony korzystają z Let's Encrypt, który doskonale radzi sobie bez zaawansowanej walidacji. Z danych w3techs jasno wynika, że Let's Encrypt jest obecnie używany głównie przez strony o niskim i średnim natężeniu ruchu. Z kolei najwięksi gracze na rynku obsługują raczej witryny o średnim ruchu. Dzieje się tak dlatego, że te instytucje certyfikujące są firmami nastawionymi na zysk, które logicznie rzecz biorąc chcą pozyskać jako klientów duże, a więc i wydające duże pieniądze zakłady.

Wykres rozrzutu pola dostawcy Urząd Certyfikacji
Ten wykres pokazuje aktualny ranking Urzędu Certyfikacji Let's Encrypt w porównaniu do innych graczy. Zauważalne: Zarówno Let's Encrypt, jak i IdenTrust są częściej używane w obszarze o małym natężeniu ruchu. Źródło: https://w3techs.com/technologies/details/sc-letsencrypt/all/all

Wniosek: Let's Encrypt wciąż ma ogromny potencjał w mojej opinii

Jeśli chodzi o spojrzenie w kryształową kulę, to mniej interesujące są dane o stronach z certyfikatem SSL, a raczej o stronach, które jeszcze nie mają certyfikatu SSL. Według w3techs jest to 30,8 procent stron. Podczas gdy powody braku certyfikatu SSL nie są rozbite na te strony - dla sporego procenta z nich, myślę, że koszt w połączeniu z przeszkodami technicznymi są prawdopodobnie głównymi przeszkodami.

Oba te zadania są obecnie znacznie ułatwione dzięki Let's Encrypt i jego integracji z interfejsami użytkownika, na przykład w pulpitach nawigacyjnych dostawców usług hostingowych. Im bardziej znana będzie kalifornijska inicjatywa, tym mniejsza powinna być liczba stron, które nie posiadają certyfikatu SSL.

Jak na razie wydaje się, że Let's Encrypt nie zdołał jeszcze przejść do fazy wykładniczego wzrostu. To może się zmienić w 2017 roku, kiedy Chrome zacznie oznaczać strony bez HTTPS. Również zachowanie innych producentów przeglądarek w tej kwestii będzie miało wpływ na przyszłość. Jednak rozwój, który zainicjował Let's Encrypt, należy w każdym razie przyjąć z zadowoleniem, zarówno dla operatorów stron, jak i dla dostawców usług hostingowych.

Czy korzystasz już z certyfikatu Let's Encrypt lub masz z nim jakieś doświadczenia? Podziel się swoją wiedzą z nami i innymi użytkownikami. Jako Sys-Admin serwisu RAIDBOXES chętnie odpowiem na Twoje pytania dotyczące SSL.

Jako administrator systemu Tobiasz czuwa nad naszą infrastrukturą i znajduje każdą śrubkę, aby zoptymalizować wydajność naszych serwerów. Dzięki jego niestrudzonym wysiłkom, często można go spotkać w nocy na stronie Slack .

Powiązane artykuły

Komentarze do tego artykułu

Napisz komentarz

Twój adres e-mail nie zostanie opublikowany. Pola obowiązkowe oznaczone są *.