Organ certyfikujący Organ Lets

Pięć miesięcy Let's Encrypt: Oto, jak wygląda dziś sytuacja kalifornijskiego urzędu certyfikacji

Darmowe certyfikaty SSL od Let's Encrypt zapoczątkowały ważny rozwój na niemieckim rynku hostingowym: Ochrona danych osobowych na własnej stronie internetowej jest obecnie prawie wszędzie bezpłatna. Ale jak do tej pory radzi sobie inicjatywa, która jako Urząd Certyfikacji wydaje darmowe certyfikaty SSL dla wszystkich? Szczegółowe spojrzenie na rozwój.

Certyfikat SSL niesie ze sobą wiele korzyści, najpóźniej od czasu wprowadzenia standardu HTTP/2. Dane osobowe są nie tylko niezawodnie zaszyfrowane, ale również strona ładuje się szybciej. Ponadto HTTPS - bezpieczna wersja Hypertext Transfer Protocol - sprawia, że strony internetowe są odporne na przyszłość. 8 września Google ogłosiło, że od 2017 roku strony internetowe bez certyfikatu SSL będą oznaczane w Chrome jako niezabezpieczone. Google w ten sposób zbliża się coraz bardziej do swojego samozwańczego celu "HTTPS wszędzie".

Urząd certyfikacji Let's Encrypt - Oznaczenie HTTPS w Google Chrome
Dzięki nowemu wyświetlaczowi, nawet strony całkowicie godnych zaufania dostawców będą otrzymywały czerwony sygnał ostrzegawczy. W przypadku mediów takich jak t3n, nie jest to zazwyczaj problemem, ponieważ czytelnicy ufają temu medium. Ostrzeżenie Google może jednak kosztować mniej znane strony czytelników i klientów.

Ważną rolę w tym kontekście odgrywa Let's Encrypt. Dzieje się tak dlatego, że inicjatywa z Kalifornii wydaje darmowe certyfikaty SSL dla wszystkich. Dzięki temu każdy operator strony może bezpłatnie i stosunkowo łatwo założyć SSL. Amerykański urząd certyfikacji ma już wpływ na niemiecki rynek hostingowy. Ponieważ wielu hostingodawców już oferują darmowe certyfikaty. Niektóre z nich mają zintegrowany Let's Encrypt, inne oferują darmowe certyfikaty od innych dostawców.

Sukces Let's Encrypt jest więc istotny nie tylko dla operatorów stron, ale także dla niemieckiego rynku hostingowego.

Do tej pory Let's Encrypt wydało ponad 10 000 000 certyfikatów

Od czasu oficjalnego uruchomienia Let's Encrypt w maju tego roku, kamienie milowe pojawiają się gęsto i szybko: Dwa miliony, pięć milionów, a ostatnio dziesięciomilionowy certyfikat. Liczby te nie są jednak równoznaczne z dziesięcioma milionami witryn zaszyfrowanych za pomocą certyfikatów Let's Encrypt. Do rzeczywistej liczby należy raczej podejść z kilku stron.

Już 23 kwietnia 2016 roku, a więc na kilka dni przed oficjalnym startem, Let's Encrypt zdołał wydać swój dwumilionowy certyfikat. Zaledwie 19 dni później, 9 maja, osiągnięto granicę trzech milionów. Trzeciego czerwca było już cztery miliony certyfikatów, a 19 czerwca osiągnięto granicę pięciu milionów. Pod koniec lipca liczba ta wynosiła już siedem milionów, a obecnie Let's Encrypt wydał 10,86 mln certyfikatów, czyli ponad dwa razy więcej niż w połowie czerwca. To brzmi jak genialny początek. Ale co tak naprawdę kryje się za tą liczbą?

Liczba darmowych certyfikatów SSL od Urzędu Certyfikacji Let's Encrypt
W sierpniu i wrześniu szczególnie mocno wzrosła liczba certyfikatów wydawanych przez Let's Encrypt. Wynika to prawdopodobnie z 90-dniowego okresu ważności darmowych certyfikatów SSL. Oficjalna premiera rynkowa miała miejsce w maju 2016 r. Źródło: https://letsencrypt.org/stats/

Z dziesięciu milionów wydanych certyfikatów prawie połowa straciła ważność

Liczba 10.000.000 początkowo niewiele mówi. Zawiera śmieci danych: odnowienia certyfikatów, wielokrotne certyfikacje i wygasłe certyfikaty są liczone. Jeśli dodatkowo wiesz, że cykl odnawiania certyfikatów Let's Encrypt wynosi 90 dni, liczba ta staje się coraz bardziej względna.

Bardziej informatywna jest liczba aktualnie ważnych certyfikatów: Let's Encrypt liczy obecnie 5,51 miliona ważnych certyfikatów. Nie oznacza to jednak, że faktycznie istnieje tak wiele stron, które są szyfrowane za pomocą Let's Encrypt. Ale liczba ta daje już pierwszą przybliżoną wartość.

Ważne certyfikaty z Urzędu Certyfikacji Let's Encrypt
Wyraźnie widać, że liczba ważnych certyfikatów Let's Encrypt wzrosła tylko nieznacznie w okresie od sierpnia do września. We wrześniu nastąpiła wręcz stagnacja. Świadczy to również o tym, że wiele certyfikatów zostało odnowionych w sierpniu i wrześniu. Źródło: https://letsencrypt.org/stats/

7,88 proc. certyfikatów dotyczy stron z końcówką .de

Według własnej dokumentacji Let's Encrypts, 7,88 procent certyfikatów działa na domenach najwyższego poziomu .de. Nie określono jednak próby i populacji, na których opiera się ta liczba lub do których można ją odnieść. To utrudnia interpretację, ponieważ nic nie wiadomo o tym, w jaki sposób uzyskano tę liczbę. Można chyba przyjąć, że jest to liczba witryn, których Let's Encrypt zna TLD.

Można jednak wyciągnąć z tego jeden wniosek: Niemiecka domena najwyższego poziomu jest najsilniejszą krajową TLD z 28,083 liczonymi stronami. Następne w kolejności są .ru, .uk, .fr oraz .cz. Bardziej popularne są krajowe domeny TLD, takie jak .com, ale także .ninja, których Urząd Certyfikacji liczy 30 967.

Udziały TLD w znanych certyfikatach Let's Encrypt
Liczba certyfikatów w podziale na domeny najwyższego poziomu. .de jest obecnie najsilniej reprezentowaną domeną TLD. Popularne są również .ninja, .me oraz .io. Wartości te prawdopodobnie odnoszą się do wszystkich stron, których TLD są znane Urzędowi Certyfikacji. Źródło: https://letsencrypt.org/stats/

Let's Encrypt na 14 miejscu na świecie

Innym dobrym źródłem są dane z w3techs.com. Serwis gromadzi udziały określonych technologii internetowych na podstawie zestawienia dziesięciu milionów najlepszych stron internetowych na świecie publikowanego przez Alexa. Odpowiednie strony internetowe są przeszukiwane specjalnie pod kątem określonych technologii. Jeśli uda się trafić, jest to wliczane do liczenia. Więcej informacji na temat zastosowanej próbki można znaleźć tutaj.

Według w3techs, Let's Encrypt jest obecnie wciąż bardzo małym urzędem certyfikacji z udziałem w rynku wynoszącym 0,185% i znajduje się w dolnej trzeciej części rynku. Nawet jeśli spojrzeć tylko na urzędy certyfikacji, które mają mniej niż jeden procent udziału w rynku, Let's Encrypt kończy w dolnej trzeciej części. Zarówno pod względem bezwzględnego wykorzystania, jak i udziału w rynku.

Udział w rynku Urzędu Certyfikacji Let's Encrypt
Od czasu rozpoczęcia bety Let's Encrypt jest w stanie systematycznie zdobywać udział w rynku. Jednak na wielkie uderzenie, czyli przejście do wzrostu wykładniczego, trzeba jeszcze długo poczekać. Źródło: https://w3techs.com/technologies/details/sc-letsencrypt/all/all

Natomiast IdenTrust, urząd certyfikacji, który dostarcza certyfikaty główne dla Let's Encrypt, znalazł się na trzecim miejscu. To jest dobry znak. Jeśli bowiem źródło głównych certyfikatów cieszy się wysoką wiarygodnością, to usługi oparte na tych certyfikatach również mają tendencję do bycia godnymi zaufania.

Urząd certyfikacji Let's Encrypt w porównaniu z innymi urzędami certyfikacji
Let's Encrypt jest wyraźnie daleko w tyle, na trzecim miejscu wśród urzędów certyfikacji. Z kolei IdenTrust może zapewnić sobie trzecie miejsce. Należy zaznaczyć, że nie są dostępne żadne informacje na temat kompletności tej listy świadczeniodawców. Źródło: https://w3techs.com/technologies/overview/ssl_certificate/all

Szczególnie mniejsze strony z mniejszym ruchem używają Let's Encrypt

Największą wadą Let's Encrypt w porównaniu do płatnych urzędów certyfikacji jest wciąż bardzo ograniczony wybór certyfikatów. Dzieje się tak dlatego, że amerykański urząd certyfikacji oferuje jak na razie tylko jeden rodzaj certyfikatu: certyfikat walidowany domenowo. Rozszerzone funkcje, takie jak słynna zielona linia adresowa i rozszerzone walidacje - np. firmy lub organizacji - nie są obecnie możliwe w Let's Encrypt. Oczywiście nie oznacza to, że certyfikaty Let's Encrypt są mniej bezpieczne, a jedynie, że zakres ich funkcji jest ograniczony.

Przykład certyfikacji OV
Let's Encrypt, na przykład, nie może wydawać takich certyfikatów. Obecnie nadal nie wiadomo, czy wyższe poziomy walidacji kiedykolwiek się pojawią.

Implementacja rozszerzonych funkcji nie jest obecnie w zasięgu wzroku. Dzieje się tak dlatego, że walidacja organizacji i firm wymaga roboczogodzin, a te z kolei kosztują. Szczegółową dyskusję na ten temat można znaleźć również na forum Let's Encrypt.

Ergo, głównie mniejsze strony używają Let's Encrypt, który doskonale radzi sobie bez rozszerzonej walidacji. Dane w3tech wyraźnie pokazują, że Let's Encrypt jest obecnie używany głównie przez strony o niskim i średnim natężeniu ruchu. Z kolei najwięksi gracze na rynku obsługują raczej strony o średnim ruchu. Dzieje się tak dlatego, że te instytucje certyfikujące są firmami nastawionymi na zysk, które logicznie chcą pozyskać jako klientów duże zakłady o dużej sile nabywczej.

Wykres rozrzutu pola dostawcy Urząd certyfikacji
Ten wykres pokazuje aktualny ranking Urzędu Certyfikacji Let's Encrypt w porównaniu do innych graczy. Zauważalne: Zarówno Let's Encrypt, jak i IdenTrust są częściej używane w obszarze o małym natężeniu ruchu. Źródło: https://w3techs.com/technologies/details/sc-letsencrypt/all/all

Wniosek: Let's Encrypt wciąż ma ogromny potencjał w mojej opinii

Jeśli chodzi o spojrzenie w kryształową kulę, to interesujące są nie tyle dane dotyczące stron z certyfikatami SSL, co raczej stron, które jeszcze nie posiadają certyfikatu SSL. Według w3techs jest to 30,8 procent stron. O ile powody braku certyfikatu SSL nie są rozbite na te strony - dla sporego procenta z nich, jednak myślę, że koszty w połączeniu z przeszkodami technicznymi są prawdopodobnie głównymi przeszkodami.

Oba te zadania są obecnie znacznie ułatwione dzięki Let's Encrypt i jego integracji z interfejsami użytkownika, na przykład w pulpitach nawigacyjnych dostawców usług hostingowych. Im bardziej znana będzie kalifornijska inicjatywa, tym mniejsza będzie liczba stron nieposiadających certyfikatu SSL.

Jak na razie wygląda na to, że Let's Encrypt nie poradził sobie jeszcze z przejściem na wzrost wykładniczy. Może się to zmienić w 2017 roku, gdy Chrome zacznie oznaczać strony bez HTTPS. Zachowanie innych producentów przeglądarek w tej kwestii również będzie miało wpływ na dalszy rozwój. Jednak w każdym razie należy z zadowoleniem przyjąć rozwój, który zainicjował Let's Encrypt, zarówno dla operatorów stron internetowych, jak i dla dostawców usług hostingowych.

Czy korzystasz już z certyfikatu Let's Encrypt lub masz z nim jakieś doświadczenia? Podziel się swoją wiedzą z nami i innymi użytkownikami. Jako administrator systemu Raidboxes chętnie odpowiem na Twoje pytania dotyczące SSL.

Spodobał Ci się ten artykuł?

Zostawiając opinię pomożesz nam udoskonalać publikowane przez nas treści.

Napisz komentarz

Twój adres e-mail nie zostanie opublikowany.