Let's Encrypt är gratis - men inte för ingenting

Lyckligtvis, som fler och fler värdar erbjuder Let's Encrypt™ certifikat, dvs gratis SSL, är det dags att kasta mer ljus på initiativet bakom denna SSL för alla. Vad exakt gör Let's Encrypt? Varför är certifikaten kostnadsfria? Vad kan Let's Encrypt göra och var finns det fortfarande en del att komma ikapp? Vi kommer att diskutera dessa och andra frågor i denna bakgrundsartikel.

Kryptering av trafik håller på att bli standard i nätverket. Lyckligtvis! Efter att vi också integrerade Let's Encrypt för ungefär ett år sedan är det vettigt att belysa projektet lite närmare.

Let's Encrypt är en relativt ung certifikatutfärdare (betaversionen lanserades 2015) för SSL-certifikat – även känd som Certifikatutfärdaren (CA). Initiativet har skapat en automatiserad process genom vilken SSL-certifikat utfärdas. Dessa visar användare av en sida att den finns på den "riktiga" webbplatsen och att trafiken mellan webbläsaren och webbservern är krypterad.

Vad är Let's Encrypt?

De viktigaste principerna för Let's Encrypt är:

• Gratis: Alla med ett domännamn kan använda Let's Encrypt. Dessutom är Let's Encrypt-certifikat gratis.
• Automatisk: Programvara körs på en webbserver och kan erhålla certifikat med Let's Encrypt, skyddas för användning och automatiskt förnya certifikat.
• Säker: Let's Encrypt tillhandahåller en plattform för avancerad TLS-säkerhet, både på certifikatutfärdarsidan och i driftföretaget, för att hjälpa den att skydda servern.
• Transparent: Alla utfärdade och återkallade Let's Encrypt-certifikat är offentligt tillgängliga för alla.
• Öppna: Det automatiska utställnings- och förnyelseprotokollet publiceras som öppet så att andra kan anpassa det.
• Kooperativ: I likhet med de underliggande Internet-protokollen själva är Let's Encrypt en gemensam insats som gynnar samhället.

Ja, Låt oss kryptera certifikat är verkligen gratis

Den mest brådskande frågan först: Är Let's Encrypt verkligen gratis? För att vara kortfattad, ja, varken certifikaten eller de nödvändiga programmen kostar pengar. För många kommer dock denna fråga inte att baseras enbart på ekonomiska motiv, utan framför allt på frågan om varför Let's Encrypt är gratis. Så varför en produkt som andra organisationer tidigare har belönats för plötsligt erbjuds gratis.

Välgörenhet och sponsorer gör Let's Encrypt gratis

Let's Encrypt är ett ideellt projekt och behöver knappast betala personal. Dessutom sker de flesta processer automatiskt. Detta eliminerar en stor ekonomisk börda. Den nödvändiga hårdvaran kompenseras också till stor del av samarbetet med Linux Foundation. Sponsringssainerna och donationerna är avsedda för alla andra kostnader.

Alla kan donera hur mycket pengar som helsttill organisationen via PayPal . Ett sponsringssystem har skapats för större summor och organisationer. Det dyraste paketet kommer att kosta '350 000, medan mindre företag kommer att vara tillgängliga för belopp från '10 000 till '50 000 – beroende på antalet anställda.

I detta sammanhang spelar inte bara ekonomiska överväganden en roll, utan också frågan om organisatörernas motiv. Å ena sidan har vi det altruistiska argumentet: HTTPS bör bli standard på Internet och alla webbplatsoperatörer över hela världen bör kunna anpassa sin egen webbplats till den enkelt och kostnadsfritt.

Det är dags för krypterad kommunikation att vara standard på webben och Let's Encrypt kommer att få det att hända. – Låt oss kryptera

Det andra viktiga motivet är vilja att skapa jämlikhet på Internet. När allt kommer kommer från har närvaron av ett SSL-certifikat blivit ett rankningskriterium för Google. Och om vissa webbplatser antingen inte har råd med certifikaten eller inte har tillgång till dem, begränsar detta dessa sidor - och därmed vissa individer och deras WordPress projekt - från deltagande på Internet.

Vi tillhandahåller certifikat gratis, eftersom kostnaden utesluter människor. Våra certifikat finns tillgängliga i alla länder i världen, eftersom den säkra webben är för alla. – Låt oss kryptera

Idén om rättvisa och jämlikhet verkar alltså vara det centrala inslaget i Let's Encrypts ambitioner.

Let's Encrypt stöds av många branschjättar

Förutom de officiella sponsorerna, som inkluderar sådana som Mozilla, Cisco, Chrome eller Facebook, företag från WordPress -område till anhängarna av Let's Encrypt-projektet. Till exempel Automattic eller wpbeginner. Dessa företag och organisationer är i synnerhet WordPress -specifik syn på Internet och dess motivation utmärkt för Let's Encrypt.

Automattic är förresten en silversponsor, vilket innebär en årlig kostnad på 50 000 dollar. Automattic har gjort ett åtagande främst genom sin standardintegration av Let's Encrypt-certifikat för WordPress .com värdsidor.

Let's Encrypt är projektet, organisationsstrukturerna är mycket större

Let's Encrypt själv är bara certifieringstjänsten, det vill säga den myndighet som utfärdar certifikaten. Den övergripande organisationsstrukturen är dock mycket större. Den överordnade organisationen för Let's Encrypt är Internet Security Research Group (ISRG), baserad i San Francisco. I styrelsen för denna ideella organisation ingår forskare, företagsrepresentanter och representanter för stiftelser och andra ideella organisationer.

Minst två andra institutioner är också viktiga i samband med Let's Encrypt. Å ena sidan Electronic Frontier Foundation (EFF), som har hanterat Certbot, certifieringsprogramvaran för skapandet av Let's Encrypt-certifikat, sedan maj 2016. Å andra sidan Linux Foundation, som tillhandahåller den tekniska infrastrukturen för Let's Encrypt genom sitt samarbetsprojektprogram.

Totalt tar flera team från ideella organisationer hand om Let's Encrypt och motsvarande infrastruktur.

Den största styrkan i Let's Encrypt är användarvänligheten

De tre största styrkorna med Let's Encrypt är verkligen att certifikaten är gratis, att Let's Encrypt och den nödvändiga programvaran ständigt utvecklas och förbättras och att installationen av certifikaten är relativt enkel.

Vi har redan diskuterat aspekten av gratiscertifikat. Dessutom utvecklas Let's Encrypt ständigt. Slutligen är certifikaten också ganska enkla att inrätta för alla med lämpliga färdigheter och åtkomsträttigheter. Det är inte heller nödvändigtvis svårt att lära sig de nödvändiga stegen. Allt som behövs är att använda Certbot och att förse webbservern med respektive ytterligare moduler. Certifikat kan redan ställas in och förnyas.

Den största svagheten i Let's Encrypt är dess kompatibilitet

För närvarande är certifikatpaletten med endast ett certifikat mycket hanterbar. Detta kommer inte att ändras i framtiden, eftersom de avancerade valideringar som krävs för OV- eller EV-certifikat inte kan automatiseras och även kosta pengar. Men det är automatisering som gör Let's Encrypt-certifikat gratis. Avancerade valideringar är därför svåra att kombinera med den grundläggande idén om Let's Encrypt, även om det fanns initiala idéer om hur validering kunde läggas ut på samhället, till exempel. Såvitt vi vet har dock planerna för införandet av utökade valideringar ännu inte fullföljts.

Även om certifikaten inte är svåra för proffs att integrera, för lekmän eller för personer med begränsad åtkomst till sin webbserver, kan det ta onödigt lång tid att justera serverkonfigurationen för Certbot, beställa certifikaten, inkludera dem och förnya dem regelbundet. I synnerhet är varaktigheten för ett Let's Encrypt SSL-certifikat mycket lägre än för ett "normalt" certifikat. Låt oss kryptera certifikat måste förnyas var 90: e dag. Ett klassiskt SSL-certifikat gäller däremot i 12, 24 eller till och med 36 månader och kräver vanligtvis inget tekniskt underhåll under denna period.

I händelse av problem är du helt ensam och kan inte använda några supporttjänster från Let's Encrypt. Det finns dock ett omfattande community-supportforum. I början var kompatibiliteten hos de gratis SSL-certifikaten med olika webbläsare också ett problem. Under tiden kan dock alla större webbläsare hantera certifikaten. Problem är faktiskt bara med föråldrad programvara.

Om du inte har de nödvändiga färdigheterna kan självinblandningen av ett certifikat, inklusive testning, felsökning och felsökning, vara betydligt dyrare än att köpa ett SSL-certifikat. Men även detta är nu mer ett teoretiskt problem. Många värdar stöder antingen en enkel installation med ett klick av certifikaten eller erbjuder gratis grundläggande certifikat från andra certifikatutfärdare.

Dom: Let's Encrypt har ett ädelt mål som bör stödjas

Let's Encrypt säger att det vill göra Internet säkrare och snabbare, särskilt för användare som inte har haft tillgång till SSL-certifikat. För professionella webbplatsoperatörer har Let's Encrypt framför allt en kostnad, förtroende och SEO-fördel, om så bara för domänvalidering. Huruvida utökade valideringar kommer att erbjudas inom överskådlig framtid är tveksamt – förutsatt att automationsproblemet inte kan lösas.

Användningen av certifikaten ger dock inte bara gratis kryptering – och i vissa fall en djupare förståelse för internetsäkerhet – utan också indirekt stöd för den goda orsaken bakom Let's Encrypt. Vi integrerade Let's Encrypt främst för att vi tror på fördelarna med projektet. Certifikaten är gratis, men deras användning är inte gratis, men förhoppningsvis ett bidrag till en ny säkerhetsstandard på internet.

Bild: Unsplash