Endlich: Https certficates für jeden *GRATIS* - "letsencrypt" *Update*

[razzor1984]

Endlich: Https certficates für jeden *GRATIS* - "letsencrypt" *Update*

Mozilla hat sich letztes jahr in die iniziative letsencrypt eingefügt, diese hatten den gleichen Plan: Kostenlose SSL/TLS zertificate auszugeben.
Im Zuge dessen wollten Sie auch gleich den Erwerb eines Zertifikats vereinfachen, wie vielleicht manche user wissen, dauert das schon ne gute Stunde wenn man es nicht quasi jeden Tag macht

In Zukunft reichen zwei Zeile code im Terminal aus und schon ist das Zertifikat "Gültig"

 $ sudo apt-get install lets-encrypt
$ lets-encrypt example.com

[example.com stellt nur die Endadress einer X beliebigen Webseite dar]


Das Enryptmanagment Tool übernimmt folgende Aufgaben:

Es checkt automatisch nach ob man auch wirlich die kontrolle über webseite X hat
Es generiert ein Gültiges Certifikat welches die Browser akzeptieren
Man kann nachschauen wann das Zertifikat abläuft und es auch automtisch erneuern lassen
Sollte der Fall eintreten dann gibt es die möglichkeit recht einfach das Zertifikat als ungültg zu deklarieren

Aufbaue der CA struktur von Lets encrypt:



Damit die generierten zertifkate auch bei den Browsern akzeptiert werden hat letsencrypt IdenTrust als Partner gewonnen.


Persönliche Meinung:

Endlich gibt es einen Möglichkeit *GRATIS*an gültige Zertifikat zu kommen, leider ändert dass nichts am kaputten CA-System aber es wird hoffendlich den Anteil an Https geschützen Webseitn erhöhen.
Durch die leichte installation wird einem enorm viel Arbeit abgenommen, ich hoffe dass es wirkich so einfach ist wie beschrieben

Glaube jetzt kann sich PCGH ein HTTPS certficate "gönnen" weil jetzt ist es kein Kostenfaktor mehr sondern ein Arbeitsaufwand von < 15 minuten (Wenn es wirklich so einfach is wie beschrieben)

Update vom 17.06.2015***********************************************************************************************************************************************************************************************************

Let's Encrypt Launch Schedule wurde bekannt gegeben:

Ein erste "Test" phase wird am 27.07.2015 statt finden, da hier die zertfikate nicht von IdenTrust mit segniert werden, sind dies zu diesen Zeitpunkt nicht im Browser "verwendbar" insofern man nicht das Root zertifikat von Lets encrypt installiert hat.

In der Woche des 14.09.2015 wird laut Plan, lets Encrypt überall verfügbar sein und domains mit IdenTrust signiert werden(kreuzsignatur/cross signature)

Jetzt kann man nur hoffen, dass der Start reibungslos klappt und auch die besagte blacklist mit domains einzug hält, die gültige Zertfifikate bereits besitzen(doppel ausstellung von zertifikaten für eine domain, welches ja leider möglich ist)



Quellen:
Let's Encrypt: Meilenstein zu kostenlosen SSL-Zertifikaten für alle | heise Security
https://letsencrypt.org/2015/06/16/lets-encrypt-launch-schedule.html
https://letsencrypt.org/howitworks/
https://letsencrypt.org/howitworks/technology/
https://github.com/letsencrypt/acme-spec

 

[ruyfel]

AW: Endlich: Https certficates für jeden *GRATIS* - "letsencrypt"

Kenn mich zwar nicht so gut aus, klingt aber gut
Daumen hoch

 

[DKK007]

AW: Endlich: Https certficates für jeden *GRATIS* - "letsencrypt"

Allerdings müsste man leider bei 1&1 o.ä. 2€/Monat extra zahlen um überhaupt über https auf den Webspace zuzugreifen.

 

[keinnick]

AW: Endlich: Https certficates für jeden *GRATIS* - "letsencrypt"

Endlich gibt es einen Möglichkeit *GRATIS*an gültige Zertifikat zu kommen, leider ändert dass nichts am kaputten CA-System aber es wird hoffendlich den Anteil an Https geschützen Webseitn erhöhen.
Durch die leichte installation wird einem enorm viel Arbeit abgenommen, ich hoffe dass es wirkich so einfach ist wie beschrieben

Die Beantragung und Installation eines Certs ist nun wirklich nicht viel Arbeit. Das geschieht bei uns komplett automatisiert. Lediglich die Validierung per Mail / Telefon durch die CA erfordert manuelles eingreifen. Und das ist auch gut. Denn neben der Verschlüsselung soll so ein Zertifikat ja auch sicherstellen, dass man sich da mit der richtigen Gegenstelle "verbindet".

Aber letztendlich hast Du Recht. Das CA-System ist ohnehin kaputt. Denn jede anerkannte CA kann Zertifikate für MITM für beliebige Domains ausstellen.

 

[razzor1984]

AW: Endlich: Https certficates für jeden *GRATIS* - "letsencrypt"

Allerdings müsste man leider bei 1&1 o.ä. 2€/Monat extra zahlen um überhaupt über https auf den Webspace zuzugreifen.

Dann epfehle ich dir einen neuen webhoster bin mit den mehr als zufrieden, alles AOI . Finde das von 1&1 schon bisschen mutig da extra für port 443 zu verlangen. Web2.0 seiten werdn defakto nur mehr über 443 erreichbar sein - https://uberspace.de/prices

Die Beantragung und Installation eines Certs ist nun wirklich nicht viel Arbeit. Das geschieht bei uns komplett automatisiert. Lediglich die Validierung per Mail / Telefon durch die CA erfordert manuelles eingreifen. Und das ist auch gut. Denn neben der Verschlüsselung soll so ein Zertifikat ja auch sicherstellen, dass man sich da mit der richtigen Gegenstelle "verbindet".

Meine erfahrung bis dato (rapidssl/ Geotrust) der Erwerb des certs war echt einfach, später sollten dann noch bestätigungsmails kommen die dann nicht kamen, nach intervention sind die dann doch gekommen(warum es prosb gab ?)
Dann das ganze in den Apache importieren - kostet alles zeit, wenn man das nicht immer jeden Tag macht richten man sich normalerweiße an ein TUT und wenn es zu probs kommt dann kostet es nochmal noch mehr zeit

Wenn es bei deinem Ca so schnell abläuft dann ist das doch mal extrem positiv mach mal *Werbung*

Aber letztendlich hast Du Recht. Das CA-System ist ohnehin kaputt. Denn jede anerkannte CA kann Zertifikate für MITM für beliebige Domains ausstellen.

Ich bin auf DANE gespannt weil es viel mehr sicherheit auf DNS ebene bringen soll, aber die CA geschichte umfasst ja extrem viel stoff. Habe hier im Forum schon einmal einen Blog post über MIM attacken und dirty CAs verfasst. Obs geholfen hat weiß ich nicht. Leider weiß der durschnits user nichtmal was eine CA ist, es hat lang genug gedauert bis die user verstanden haben wozu man, das https überhaupt braucht.
Leider schaut nur der großteli am beginn einer Session aufs "Https", - SSL stripping funktionier,t wenn man sich richtig positioniert,auch heute noch *leider*

 

[keinnick]

AW: Endlich: Https certficates für jeden *GRATIS* - "letsencrypt"

Wenn es bei deinem Ca so schnell abläuft dann ist das doch mal extrem positiv mach mal *Werbung*

Jein. Ich kenne, die von Dir beschriebenen Probleme. Die hatten wir auch, wenn wir die Certs manuell über deren Webseiten (Comodo, Rapid-SSL) bestellt haben. Da hat es von der Beantragung bis zur Ausstellung gerne mal 24h gedauert. Irgendwann wurde das aber zu mühselig, weil wir auch zahlreiche Kunden mit Zertifikaten versorgen und haben auf deren Schnittstellen umgestellt. Da greift scheinbar kaum einer mehr manuell ein und der Großteil erfolgt automatisiert. Das einzige was der Antragsteller noch machen muss, ist den Link in der Mail zu klicken (die übrigens sofort versendet wird). Zwei oder drei Minuten nach der Bestätigung kann man sich das Cert dann abholen.

Das Einbauen in den Webserver haben wir auch automatisiert. Das lohnt sich für jemanden, der vielleicht 1-2 Zertifikate im Jahr benötigt, aber nicht.

Bei "höherwertigen" Zertifikaten wie Extended Validation Zertifikaten bringt das alles aber natürlich eh nichts. Da ist gefühlt gar nichts automatisiert und die prüfen extrem penibel und deshalb auch extrem langsam.