Urząd Certyfikacji Urząd Lets

Pięć miesięcy Let's Encrypt: Oto jak wygląda dziś sytuacja urzędu certyfikacji z Kalifornii

Darmowe certyfikaty SSL od Let's Encrypt zapoczątkowały ważną zmianę na niemieckim rynku hostingowym: Ochrona danych osobowych na własnej stronie internetowej jest obecnie prawie wszędzie bezpłatna. Jak do tej pory radzi sobie inicjatywa, która jako Urząd Certyfikacji wydaje darmowe certyfikaty SSL dla każdego? Szczegółowe spojrzenie na rozwój.

Certyfikat SSL niesie ze sobą wiele korzyści, najpóźniej od czasu wprowadzenia standardu HTTP/2. Dane osobowe są nie tylko niezawodnie zaszyfrowane, ale także strona internetowa ładuje się szybciej. Ponadto HTTPS - bezpieczna wersja protokołu Hypertext Transfer Protocol - sprawia, że strony internetowe są odporne na przyszłość. 8 września Google ogłosiło, że od 2017 roku strony internetowe bez certyfikatów SSL będą oznaczane w Chrome jako niezabezpieczone. W ten sposób Google zbliża się do swojego samozwańczego celu, jakim jest "HTTPS wszędzie".

Urząd certyfikacji Let's Encrypt - oznaczenie HTTPS w Google Chrome
Dzięki nowemu wyświetlaczowi nawet strony całkowicie godnych zaufania dostawców będą otrzymywały czerwony sygnał ostrzegawczy. W przypadku mediów takich jak t3n nie jest to zazwyczaj problem, ponieważ czytelnicy ufają temu medium. Ostrzeżenie Google może jednak kosztować mniej znane strony czytelników i klientów.

Let's Encrypt odgrywa w tym kontekście ważną rolę. Dzieje się tak dlatego, że inicjatywa z Kalifornii udostępnia wszystkim darmowe certyfikaty SSL. Dzięki temu każdy operator strony może założyć SSL bezpłatnie i stosunkowo łatwo. Amerykański urząd certyfikacji ma już wpływ na niemiecki rynek usług hostingowych. Ponieważ wielu hosterów oferuje już darmowe certyfikaty. Niektóre mają zintegrowany Let's Encrypt, inne oferują darmowe certyfikaty od innych dostawców.

Sukces Let's Encrypt ma więc znaczenie nie tylko dla operatorów stron, ale także dla niemieckiego rynku hostingowego.

Let's Encrypt wydał do tej pory ponad 10 000 000 certyfikatów

Od czasu oficjalnego uruchomienia Let's Encrypt w maju tego roku kamienie milowe pojawiają się gęsto i szybko: Dwa miliony, pięć milionów, a ostatnio dziesięciomilionowy certyfikat. Ale te liczby nie są równoznaczne z dziesięcioma milionami stron zaszyfrowanych za pomocą certyfikatów Let's Encrypt. Do rzeczywistej liczby należy podejść z kilku stron.

Już 23 kwietnia 2016 roku, czyli na kilka dni przed oficjalnym startem, Let's Encrypt zdołał wydać swój dwumilionowy certyfikat. Już 19 dni później, 9 maja, osiągnięto liczbę trzech milionów. Trzeciego czerwca były już cztery miliony certyfikatów, a 19 czerwca osiągnięto granicę pięciu milionów. Do końca lipca liczba ta wynosiła siedem milionów, a obecnie Let's Encrypt wydał 10,86 miliona certyfikatów, czyli ponad dwa razy więcej niż w połowie czerwca. To brzmi jak świetny początek. Ale co właściwie kryje się za tą liczbą?

Liczba darmowych certyfikatów SSL od Urzędu Certyfikacji Let's Encrypt
W sierpniu i wrześniu liczba certyfikatów wydanych przez Let's Encrypt wzrosła szczególnie mocno. Wynika to prawdopodobnie z 90-dniowego okresu ważności darmowych certyfikatów SSL. Oficjalna premiera rynkowa miała miejsce w maju 2016 r. Źródło: https://letsencrypt.org/stats/

Z dziesięciu milionów wydanych certyfikatów prawie połowa straciła ważność

Liczba 10 000 000 początkowo mówi bardzo niewiele. Ponieważ zawiera śmieci w postaci danych: liczone są odnowienia certyfikatów, wielokrotne certyfikaty i certyfikaty wygasłe. Jeśli dodatkowo wiesz, że cykl odnawiania certyfikatów Let's Encrypt wynosi 90 dni, liczba ta staje się coraz bardziej względna.

Bardziej informacyjna jest liczba aktualnie ważnych certyfikatów: Let's Encrypt liczy obecnie 5,51 miliona ważnych certyfikatów. Nie oznacza to jednak, że tak wiele stron jest szyfrowanych za pomocą Let's Encrypt. Jednak liczba ta daje pierwsze przybliżenie.

Ważne certyfikaty z Urzędu Certyfikacji Let's Encrypt
Widać wyraźnie, że liczba ważnych certyfikatów Let's Encrypt wzrosła tylko nieznacznie w okresie od sierpnia do września. We wrześniu nastąpiła nawet stagnacja. Świadczy to również o tym, że wiele certyfikatów zostało odnowionych w sierpniu i wrześniu. Źródło: https://letsencrypt.org/stats/

7,88% certyfikatów działa na stronach z domeną .de

Według dokumentacji Let's Encrypts, 7,88% certyfikatów działa na domenach najwyższego poziomu .de. Nie określono jednak próby i populacji, na której opiera się ta liczba lub do której można ją odnieść. To sprawia, że interpretacja jest dość trudna, ponieważ nic nie wiadomo o tym, jak uzyskano tę liczbę. Można prawdopodobnie założyć, że jest to liczba stron, których Let's Encrypt zna TLD.

Można jednak wyciągnąć z tego jeden wniosek: Niemiecka domena najwyższego poziomu jest najsilniejszą krajową TLD z 28 083 zliczonymi stronami. Za nim plasują się .ru, .uk, .fr i .cz. Bardziej popularne są krajowe TLD takie jak .com, ale także .ninja, których Urząd Certyfikacji liczy 30 967.

Udziały TLD w znanych certyfikatach Let's Encrypt
Liczba certyfikatów w domenach najwyższego poziomu. .de jest obecnie najsilniej reprezentowaną TLD. Popularne są również .ninja, .me i .io. Wartości te prawdopodobnie odnoszą się do wszystkich stron, których TLD są znane Urzędowi Certyfikacji. Źródło: https://letsencrypt.org/stats/

Let's Encrypt na 14 miejscu na świecie

Innym dobrym źródłem są dane z w3techs.com. Serwis gromadzi informacje o udziale niektórych technologii internetowych na podstawie listy dziesięciu milionów najlepszych stron internetowych na świecie, publikowanej przez firmę Alexa. Odpowiednie strony internetowe są przeszukiwane pod kątem określonych technologii. Jeśli uda się trafić, jest to uwzględniane w liczeniu. Więcej informacji o zastosowanej próbie można znaleźć tutaj.

Według portalu w3techs, Let's Encrypt jest obecnie bardzo małym urzędem certyfikacji z udziałem w rynku wynoszącym 0,185% i znajduje się w dolnej trzeciej części rynku. Nawet jeśli weźmiemy pod uwagę tylko urzędy certyfikacji, które mają mniej niż jeden procent udziału w rynku, Let's Encrypt znajdzie się w dolnej trójce. Zarówno pod względem bezwzględnego wykorzystania, jak i udziału w rynku.

Udział w rynku urzędu certyfikacji Let's Encrypt
Od czasu rozpoczęcia wersji beta Let's Encrypt systematycznie zdobywa udział w rynku. Jednak na wielkie uderzenie, czyli przejście do wzrostu wykładniczego, trzeba jeszcze długo poczekać. Źródło: https://w3techs.com/technologies/details/sc-letsencrypt/all/all

Natomiast IdenTrust, urząd certyfikacji, który dostarcza certyfikaty główne dla Let's Encrypt, jest na trzecim miejscu. To dobry znak. Jeśli źródło certyfikatów głównych cieszy się dużym zaufaniem, to usługi oparte na tych certyfikatach głównych również są godne zaufania.

Urząd certyfikacji Let's Encrypt w porównaniu z innymi urzędami certyfikacji
Let's Encrypt jest wyraźnie daleko w tyle, na trzecim miejscu wśród urzędów certyfikacji. Z kolei IdenTrust może zapewnić sobie trzecie miejsce. Należy zaznaczyć, że nie ma informacji na temat kompletności tej listy dostawców. Źródło: https://w3techs.com/technologies/overview/ssl_certificate/all

Zwłaszcza mniejsze strony o mniejszym ruchu korzystają z Let's Encrypt

Największą wadą Let's Encrypt w porównaniu z płatnymi urzędami certyfikacji jest wciąż bardzo ograniczony wybór certyfikatów. Dzieje się tak dlatego, że amerykański urząd certyfikacji oferuje na razie tylko jeden rodzaj certyfikatu: certyfikat zatwierdzany przez domenę. Rozszerzone funkcje, takie jak słynna zielona linia adresowa i rozszerzone walidacje - np. firmy lub organizacji - nie są obecnie możliwe w Let's Encrypt. Oczywiście nie oznacza to, że certyfikaty Let's Encrypt są mniej bezpieczne, a jedynie, że zakres ich funkcji jest ograniczony.

Przykład certyfikatu OV
Na przykład Let's Encrypt nie może wydawać takich certyfikatów. Obecnie nie wiadomo, czy wyższe poziomy walidacji kiedykolwiek się pojawią.

Wdrożenie funkcji rozszerzonych nie jest obecnie możliwe. Dzieje się tak dlatego, że walidacja organizacji i firm wymaga poświęcenia wielu godzin, a to z kolei kosztuje. Szczegółowa dyskusja na ten temat znajduje się również na forum Let's Encrypt.

Dlatego też głównie mniejsze strony używają Let's Encrypt, który może obejść się bez rozszerzonej walidacji. Dane w3tech wyraźnie pokazują, że Let's Encrypt jest obecnie używany głównie przez strony o małym lub średnim natężeniu ruchu. Z kolei najwięksi gracze na rynku obsługują strony o średnim natężeniu ruchu. Dzieje się tak dlatego, że urzędy certyfikacji to firmy nastawione na zysk, które logicznie rzecz biorąc chcą pozyskać jako klientów duże zakłady o dużej sile nabywczej.

Rozkład pola dostawcy Urząd Certyfikacji
Ten wykres pokazuje aktualny ranking Urzędu Certyfikacji Let's Encrypt w porównaniu z innymi graczami. Zauważalne: Let's Encrypt i IdenTrust są częściej używane w miejscach o małym natężeniu ruchu. Źródło: https://w3techs.com/technologies/details/sc-letsencrypt/all/all

Wniosek: Moim zdaniem Let's Encrypt wciąż ma ogromny potencjał

Jeśli chodzi o spojrzenie w kryształową kulę, to interesujące są nie tyle dane dotyczące stron z certyfikatami SSL, co raczej stron, które jeszcze nie mają certyfikatu SSL. Według danych w3techs jest to 30,8% stron. Powody nieposiadania certyfikatu SSL nie zostały podane dla tych stron - dla sporego odsetka z nich jednak, jak sądzę, koszty w połączeniu z przeszkodami technicznymi są głównymi przeszkodami.

Oba te elementy są obecnie znacznie ułatwione dzięki Let's Encrypt i jego integracji z interfejsami użytkownika, na przykład z pulpitami nawigacyjnymi dostawców usług hostingowych. Im bardziej kalifornijska inicjatywa stanie się znana, tym mniejsza będzie liczba stron, które nie posiadają certyfikatu SSL.

Jak dotąd wydaje się, że Let's Encrypt nie poradził sobie jeszcze z przejściem na wzrost wykładniczy. Może się to zmienić w 2017 roku, gdy Chrome zacznie oznaczać strony bez HTTPS. Zachowanie innych producentów przeglądarek w tej kwestii również będzie miało wpływ na dalszy rozwój. Jednak rozwój, który zapoczątkował Let's Encrypt, jest w każdym razie mile widziany, zarówno dla operatorów stron internetowych, jak i dla dostawców usług hostingowych.

Czy używasz już certyfikatu Let's Encrypt lub masz z nim jakieś doświadczenia? Podziel się swoją wiedzą z nami i innymi użytkownikami. Jako administrator systemu Raidboxes chętnie odpowiem na Twoje pytania dotyczące SSL.

Spodobał Ci się ten artykuł?

Zostawiając opinię pomożesz nam udoskonalać publikowane przez nas treści.

Napisz komentarz

Twój adres e-mail nie zostanie opublikowany. Pola wymagane oznaczone są *.