¿Podemos confiar en LetsEncrypt, que no firmará certificados no autorizados?

Answer 1

El negocio de Let’s Encrypt, al igual que cualquier otro proveedor de certificados, es emitir solo certificados autorizados. En realidad, Let’s Encrypt es una organización sin fines de lucro y, como tal, existe poca presión para “optimizar los costos”.

Puede parecer un modelo de negocio bastante sencillo, pero ocurren errores, los sistemas se ven comprometidos. Si necesita certificados emitidos mucho en tiempo real, los sistemas del proveedor deben ser accesibles de forma remota … y estar sujetos a ataques. Algo que le sucedió a COMODO en 2011. Symantec / Verisign emitió certificados no autorizados en 2015, incluidos Google. Google descubrió que estaban haciendo su propio escaneo de Internet independiente.

Como resultado de estos incidentes, Google lanzó un proyecto llamado Certificado de Transparencia (CT). El resultado práctico de estos proyectos son registros globales de todos los certificados emitidos y los proveedores de certificados ahora envían certificados emitidos a estos registros, en muchos casos antes de que se hayan emitido. Esto proporciona una fuente de información independiente para verificar y auditar el comportamiento de los proveedores de certificados.

Si bien prefiero no responder a su pregunta sí / no, puedo decir que nuestros navegadores web no tienen que confiar plenamente en Let’s Encrypt. También verifican los certificados del servidor con los registros de CT y, si no están allí, no se confiará en el servidor.

Si desea vigilar sus servidores, o los servidores que usa, puede usar un servicio gratuito para el monitoreo de certificados, lo hemos compartido con la comunidad. Usamos registros de CT y los comparamos con certificados en servidores reales.

Puede verificarlo en https://keychest.net.

Answer 2

¿Podemos confiar en LetsEncrypt, que no firmará certificados no autorizados?

Si, mayormente.

El problema con las CA tradicionales es que no le dicen cómo verifican su control del dominio para el que solicita un certificado. Claramente, dada la cantidad de problemas de alto perfil con certificados fraudulentos, las CA pueden hacerlo mejor.

El protocolo ACME (Entorno de administración automática de certificados) de LetsEncrypt es un intento de estandarizar una forma de abordar un problema fraudulento y una administración de certificados más fácil. A partir del 17 de febrero de 2017, está en camino de convertirse en un estándar de Internet IETF, y LetsEncrypt lo ha estado utilizando en producción durante más de un año.

Dicho esto, la implementación del protocolo requiere una gran cantidad de cuidado, particularmente cuando se realizan búsquedas de DNS para encontrar el servidor web del dominio de destino. LetsEncrypt aborda estas inquietudes en la especificación del protocolo, por lo que supongo que han tomado los pasos sobre los que escriben. Como no tengo un conocimiento íntimo sobre su backend, no puedo decirlo con certeza.

Así que no los llamaría a prueba de balas , pero parece que tienen un buen sistema. Más importante aún, es un sistema automatizado , tan inmune al error humano (al menos desde su final).