Let's Encrypt fornisce certificati SSL gratuiti. Ci sono aspetti negativi rispetto ad altri certificati pagati, ad esempio AWS Certificate Manager ?
Risposte:
La durata più breve è migliore. Semplicemente perché la revoca è per lo più teorica, in pratica non si può fare affidamento (grande debolezza nell'ecosistema PKI pubblico).
Senza automazione: una maggiore durata è più conveniente. LE potrebbe non essere fattibile se, per qualsiasi motivo, non è possibile automatizzare la gestione dei certificati
Con l'automazione: la durata della vita non ha importanza.
È improbabile che gli utenti finali abbiano idea in un modo o nell'altro.
Letsencrypt fornisce solo il livello DV di verifica.
Acquistando un certificato ottieni quello per cui paghi (a partire da DV, con lo stesso livello di asserzione di LE).
DV = viene verificato solo il controllo del nome di dominio.
OV = vengono verificate anche le informazioni sull'entità proprietario (organizzazione).
EV = versione più approfondita di OV, che è stata tradizionalmente premiata con la "barra verde" (ma la "barra verde" sembra scomparire presto).
Quando si utilizza LE, il lavoro svolto consiste nell'impostare l'automazione necessaria (in questo contesto, per dimostrare il controllo del dominio). Quanto lavoro dipenderà dal tuo ambiente.
Quando si acquista un certificato, il livello DV / OV / EV definirà la quantità di lavoro manuale necessaria per ottenere il certificato. Per DV si riduce in genere andando attraverso una procedura guidata pagando e copiando / incollando qualcosa o facendo clic su qualcosa, per OV ed EV puoi praticamente contare sulla necessità di essere contattato separatamente per fare ulteriori passaggi per confermare la tua identità.
Gli utenti finali probabilmente riconoscono l'attuale "barra verde" di EV (che sta scomparendo), a parte il fatto che non tendono a guardare effettivamente il contenuto del certificato.
Teoricamente, tuttavia, è chiaramente più utile con un certificato che indica informazioni sull'entità controllante. Ma i browser (o altre applicazioni client) devono iniziare a mostrarlo in modo utile prima che ciò abbia alcun effetto per l'utente tipico.
È possibile fare le cose in modo errato in modi che espongono chiavi private o simili. Con LE, gli strumenti forniti sono impostati attorno a pratiche ragionevoli.
Con una persona che sa cosa stanno facendo, i passaggi manuali possono ovviamente anche essere eseguiti in modo sicuro.
LE ha lo scopo di automatizzare tutti i processi, il loro servizio è interamente basato su API e la breve durata riflette anche il modo in cui tutto è incentrato sull'automazione.
Quando si acquista un certificato, anche con una CA che fornisce API ai clienti regolari (non proprio la norma a questo punto) sarà difficile automatizzare correttamente qualsiasi cosa diversa da DV e con DV si paga essenzialmente per la stessa cosa fornita da LE.
Se stai andando per livelli OV o EV, probabilmente puoi automatizzare solo parzialmente il processo.
Se l'installazione viene eseguita correttamente, l'utente finale ovviamente non saprà come è stata eseguita. Le possibilità di incasinare le cose (ad esempio, dimenticare di rinnovare o eseguire l'installazione in modo errato durante il rinnovo) sono minori con un processo automatizzato.
I mezzi tradizionali di acquisto dei certificati sono particolarmente utili se desideri certificati OV / EV, non automatizzi la gestione dei certificati o desideri che i certificati vengano utilizzati in un contesto diverso da HTTPS.
Da una prospettiva puramente tecnica:
openssl x509 -in cert.pem -noout -text
X509v3 Utilizzo chiave esteso:
autenticazione server Web TLS, autenticazione client Web TLS
Dal punto di vista dell'utente finale:
Vorrei offrire alcuni contrappunti per gli argomenti usati contro Let's Encrypt qui.
Breve durata
Sì, hanno una durata breve, come spiegato nella FAQ: https://letsencrypt.org/2015/11/09/why-90-days.html Per citare la pagina:
Limitano il danno derivante da compromessi chiave e errori di emissione. Le chiavi rubate e i certificati emessi in modo errato sono validi per un periodo di tempo più breve.
Incoraggiano l'automazione, che è assolutamente essenziale per la facilità d'uso. Se stiamo per spostare l'intero Web su HTTPS, non possiamo continuare ad aspettarci che gli amministratori di sistema gestiscano manualmente i rinnovi. Una volta che l'emissione e il rinnovo sono automatizzati, le vite più brevi non saranno meno convenienti di quelle più lunghe.
Mancanza di veicoli elettrici
Non esiste un piano per il supporto EV. Il ragionamento (da https://community.letsencrypt.org/t/plans-for-extended-validation/409 ) è:
Prevediamo che Let's Encrypt non supporterà l'EV, perché il processo EV richiederà sempre uno sforzo umano, che richiederà il pagamento di qualcuno. Il nostro modello è di rilasciare certificati gratuitamente, il che richiede un'automazione di livello che non sembra compatibile con EV.
Inoltre, alcuni ritengono che l'EV sia dannoso, come questo blogpost ( https://stripe.ian.sh/ ):
James Burton, ad esempio, ha recentemente ottenuto un certificato EV per la sua società "Identity Verified". Sfortunatamente, gli utenti semplicemente non sono attrezzati per gestire le sfumature di queste entità e questo crea un vettore significativo per il phishing.
Un classico esempio del mondo reale di questo è sslstrip. I siti omografici con certificati legittimamente acquistati sono un attacco nel mondo reale per il quale EV attualmente non fornisce una difesa sufficiente.
Ci sono due gruppi di aspetti negativi da considerare.
1. Svantaggi all'utilizzo del servizio Let's Encrypt
Let's Encrypt richiede che il nome esatto, o il (sotto-) dominio, se si richiede un carattere jolly, sia presente nel DNS Internet pubblico. Anche se dimostrerai il controllo su example.com, Let's Encrypt non emetterà certificati per some.other.name.in.example.com senza vederlo nel DNS pubblico. Le macchine denominate non devono avere record di indirizzi pubblici, possono essere bloccate via firewall o anche disconnesse fisicamente, ma deve esistere il nome DNS pubblico.
Let's Encrypt durata del certificato di 90 giorni significa che devi automatizzare perché non c'è nessuno che abbia tempo per quello. Questo è in effetti l'intento del servizio: indirizzare le persone verso l'automazione di questo lavoro essenziale piuttosto che farlo perversamente manualmente mentre automatizzano molte attività più difficili. Ma se non riesci ad automatizzare per nessun motivo è negativo - se hai strumenti, dispositivi o qualunque cosa blocchi l'automazione, considera i costi di certificazione SSL commerciali come parte del costo continuo di quegli strumenti / apparecchi / qualunque cosa nella pianificazione dei costi. Contrariamente compensare i risparmi dal non dover acquistare certificati commerciali nel prezzo di nuovi strumenti / apparecchi / eccetera che automatizzano questo (con Let's Encrypt o no)
La prova di automazione del controllo Let's Encrypt potrebbe non essere adatta alle regole della tua organizzazione. Ad esempio, se hai dipendenti che sono autorizzati a riconfigurare Apache ma non dovrebbero ottenere certificati SSL per i nomi di dominio dell'azienda, Let's Encrypt non è adatto. Si noti che in questo caso semplicemente non usarli è Wrong Thing (TM) che dovresti usare CAA per disabilitare esplicitamente Let's Encrypt per i tuoi domini.
Se la politica di Let's Encrypt ti rifiuta, l'unica "corte d'appello" è chiedere nei suoi forum pubblici e sperare che uno dei loro collaboratori sia in grado di offrire una via d'uscita. Ciò può accadere se, ad esempio, il tuo sito ha un nome DNS che i loro sistemi decidono "confusamente simile" a determinate proprietà famose come le grandi banche o Google. Per ragioni ragionevoli, le politiche esatte di ciascuna CA pubblica a questo proposito non sono aperte al controllo pubblico, quindi potresti solo renderti conto che non puoi avere un certificato Let's Encrypt quando lo richiedi e ottieni una risposta "La politica proibisce ...".
2. Svantaggi di un certificato Let's Encrypt stesso
Oggi i certificati Let's Encrypt sono considerati attendibili dai principali browser Web tramite ISRG (l'organizzazione benefica che fornisce il servizio Let's Encrypt) ma i sistemi più vecchi si affidano a Let's Encrypt tramite IdenTrust, un'autorità di certificazione relativamente oscura che controlla "Root DST CA X3". Questo porta a termine il lavoro per la maggior parte delle persone, ma non è la radice più ampiamente affidabile al mondo. Ad esempio, la console Nintendo WiiU abbandonata aveva un browser Web, ovviamente Nintendo non invierà aggiornamenti per WiiU e quindi quel browser viene abbandonato, non si fida di Let's Encrypt.
Let's Encrypt emette solo certificati per la PKI Web - server con nomi Internet che utilizzano il protocollo SSL / TLS. Quindi questo è ovviamente il Web e il tuo IMAP, SMTP, alcuni tipi di server VPN, decine di cose, ma non tutto. In particolare Let's Encrypt non offre affatto certificati per S / MIME (un modo per crittografare la posta elettronica a riposo, piuttosto che solo quando è in transito) né per la firma del codice o la firma del documento. Se si desidera uno "sportello unico" per i certificati, questo potrebbe essere un motivo sufficiente per non usare Let's Encrypt.
Anche nella Web PKI, Let's Encrypt offre solo certificati "DV", il che significa che i dettagli di te o della tua organizzazione diversi dagli FQDN non sono menzionati nel certificato. Anche se li scrivi in un CSR vengono semplicemente scartati. Questo potrebbe essere un blocco per alcune applicazioni specialistiche.
Let's Encrypt automation significa che sei vincolato esattamente da ciò che l'automazione consente anche se non ci sono altri motivi per cui non puoi avere qualcosa. Nuovi tipi di chiave pubblica, nuove estensioni X.509 e altre aggiunte devono essere esplicitamente abilitati da Let's Encrypt sulla propria sequenza temporale e, naturalmente, non puoi semplicemente offrirti di pagare un extra per ottenere le funzionalità che desideri, anche se le donazioni sono benvenute.
Tuttavia, per quasi tutti, quasi sempre, Let's Encrypt è una buona prima scelta per mettere i certificati sui tuoi server TLS in modo da scordare e dimenticare. Partendo dal presupposto che userai Let's Encrypt è un modo ragionevole per affrontare questa decisione.
A meno che tu non abbia bisogno di un certificato per qualcosa di diverso dal web , non ci sono veri svantaggi, ma sicuramente percepiti . Sebbene i problemi vengano percepiti solo, in quanto proprietario di un sito Web potresti non avere altra scelta che risolverli (se l'interesse commerciale proibisce di mostrare il dito medio).
L'unico aspetto negativo più grande è, per il momento, che il tuo sito mostrerà in qualche modo inferiore, forse pericoloso perché non ha il bel badge verde che alcuni altri siti hanno. Cosa significa quel badge? Niente. Ma suggerisce che il tuo sito è "sicuro" (alcuni browser usano persino quella parola esatta). Purtroppo, gli utenti sono persone e le persone sono stupide. L'uno o l'altro considererà il tuo sito non affidabile (senza comprenderne le implicazioni) solo perché il browser non dice che è sicuro.
Se ignorare questi clienti / visitatori è una possibilità valida, nessun problema. Se non può permettersi che il business-saggio, si dovrà spendere soldi. Nessuna altra opzione.
L'altro problema percepito è quello relativo alla durata del certificato. Ma in realtà è un vantaggio, non uno svantaggio. Validità più breve significa che i certificati devono essere aggiornati più spesso, sia sul lato server che sul lato client, va bene.
Per quanto riguarda il lato server, ciò accade con un cronlavoro, quindi in realtà è meno complicato e più affidabile del solito. Non puoi dimenticare, non c'è modo di arrivare in ritardo, non c'è modo di fare accidentalmente qualcosa di sbagliato, non c'è bisogno di accedere con un account amministrativo (... più di una volta). Sul lato client, e allora. I browser aggiornano costantemente i certificati, non è un problema. L'utente non sa nemmeno che succede. C'è un po 'più di traffico da avere durante l'aggiornamento ogni 3 mesi anziché ogni 2 anni, ma sul serio ... quello non è un problema.
web? I certificati di Letencrypt erano insufficienti per me perché
Ne aggiungerò uno che ha costretto il mio datore di lavoro in parte a lasciare Lets Encrypt: il limite della tariffa API. A causa della breve durata e della mancanza di supporto con caratteri jolly, è molto facile avvicinarsi ai limiti di velocità durante le normali operazioni automatizzate (rinnovo automatico, ecc.). Cercare di aggiungere un nuovo sottodominio può spingerti oltre il limite di velocità e LE non ha modo di scavalcare manualmente il limite una volta colpito. Se non esegui il backup dei vecchi certificati (chi lo farebbe in un ambiente di microservizi di tipo cloud automatizzato come le previsioni di LE?) Tutti i siti interessati andranno offline perché LE non rilascerà i certificati.
Quando ci siamo resi conto di quello che è successo, c'è stato un momento di "oh $ #! #" Seguito da una richiesta di certificato commerciale di emergenza solo per riportare online i siti di produzione. Uno con una durata di vita di 1 anno più ragionevole. Fino a quando LE implementerà il supporto jolly corretto (e anche allora), saremo molto diffidenti nei confronti delle loro offerte.
Tl; dr: LE limiti jolly + API rendono la gestione di qualcosa di più complesso di "La mia home page personale" inaspettatamente impegnativa e promuove pratiche di sicurezza scadenti lungo il cammino.
Sì.
Unico inconveniente dell'uso di un certificato SSL gratuito o crittografato-
Problema di compatibilità: crittografiamo il certificato SSL non compatibile con tutte le piattaforme. Vedi questo link per conoscere l'elenco di piattaforme incompatibili -
Minore validità: un certificato SSL crittografato viene fornito con una validità limitata di 90 giorni. Devi rinnovare il tuo certificato SSL ogni 90 giorni. Dove come SSL a pagamento come Comodo arriva con una validità lunga come 2 anni.
Nessuna convalida aziendale: un certificato SSL gratuito richiede solo la convalida del dominio. Nessuna convalida aziendale o organizzativa per garantire agli utenti un'entità aziendale legale.
Adatto a siti di piccole imprese o blog - Come ho aggiunto nell'ultimo punto, Un certificato SSL gratuito o crittografato può essere utilizzato tramite la verifica della proprietà del dominio, non è appropriato per un sito Web di business o e-commerce in cui la fiducia e la sicurezza sono un fattore importante per le aziende.
Nessuna barra degli indirizzi verde: non puoi avere una barra degli indirizzi verde con un certificato SSL gratuito. Un certificato SSL di convalida estesa è l'unico modo per visualizzare il nome della tua azienda con la barra degli indirizzi verde sul browser.
Nessun supporto: se rimani bloccato con Let's encrypt, puoi ottenere chat online o chiamare il supporto. Puoi contattare attraverso i forum solo per sbarazzarti del problema.
Funzionalità di sicurezza aggiuntive: un certificato SSL gratuito non offre alcuna funzionalità aggiuntiva come scansione malware gratuita, sigillo del sito ecc.
Nessuna garanzia: un certificato SSL gratuito o crittografato non offre alcun importo di garanzia, mentre un certificato SSL a pagamento offre una garanzia da $ 10.000 a $ 1.750.000.
Secondo una notizia , 14.766 crittografiamo i certificati SSL rilasciati ai siti di phishing PayPal in quanto richiede solo la convalida del dominio
Quindi, secondo la mia raccomandazione, vale davvero la pena pagare per un certificato SSL.
Dopo alcune ricerche ho scoperto che i certificati Let's Encrypt sono meno compatibili con i browser rispetto ai certificati a pagamento. (Fonti: Let's Encrypt vs. Comodo PositiveSSL )