Let’s Encrypt chega a marca de 1 bilhão de certificados SSL emitidos gratuitamente e endossa ação da Apple publicada essa semana
28 de fevereiro de 2020Let’s Encrypt, uma autoridade certificadora gratuita, automatizada e aberta do Internet Security Research Group (ISRG), disse que emitiu um bilhão de certificados desde o seu lançamento em 2015.
A AC emitiu seu primeiro certificado em setembro de 2015, antes de atingir os 100 milhões em junho de 2017.
Desde o final do ano passado, o Let’s Encrypt emitiu pelo menos 1,2 milhão de certificados por dia.
O desenvolvimento ocorre quando mais de 80% das cargas de páginas da Web começaram a usar HTTPS em todo o mundo e 91% apenas nos EUA.
O HTTPS, o meio padrão de comunicação segura na Internet, possui três benefícios: autenticação, integridade e criptografia.
Ele permite que as solicitações HTTP sejam transmitidas por um canal criptografado seguro, protegendo os usuários de uma variedade de atividades maliciosas, incluindo falsificação de site e manipulação de conteúdo.
“Desde 2017, os navegadores começaram a exigir HTTPS para obter mais recursos e melhoraram bastante a maneira como se comunicam com seus usuários sobre os riscos de não usar HTTPS”, afirmou a empresa. “Quando sites colocam seus usuários em risco por não usar HTTPS, os principais navegadores agora exibem avisos mais fortes. Muitos sites responderam com a implantação do HTTPS”.
Lançado com o objetivo de acelerar a taxa de criptografia da web e reduzir os custos de habilitação de HTTPS, o protocolo ACME (Ambiente de gerenciamento automático de certificados) da Let’s Encrypt oferece um meio fácil de configurar e emitir certificados SSL que podem ser renovados e substituídos sem intervenção manual de webmasters.
Mas, com maus atores abusando dos certificados Let’s Encrypt HTTPS para mascarar o tráfego malicioso e direcionar usuários desavisados para sites maliciosos , a empresa tomou medidas para “garantir que um solicitante de certificado realmente controle o domínio para o qual deseja um certificado”.
Apple dá um passo significativo à frente
A Apple conseguiu fazer o que a maioria das ACs hesitava em realizar todo esse tempo: reduzir a validade máxima dos certificados emitidos para um ano.
A gigante da tecnologia anunciou recentemente que, a partir de 1º de setembro de 2020, o Safari rejeitará novos certificados HTTPS que expiram mais de 13 meses (ou 398 dias) a partir da data de criação, reduzindo efetivamente o tempo de vida máximo do certificado de 825 dias.
Isso ocorre após uma votação falhada realizada em setembro passado pelo CA / Browser Forum para reduzir a vida útil do certificado.
Embora o Let’s Encrypt, certSIGN, Apple, Cisco, Google, Microsoft, Mozilla e Opera tenham votado a favor da mudança, quase dois terços das ACs participantes do Cabforum rejeitaram a ideia.
A decisão da Apple de reduzir a vida útil dos certificados HTTPS significa que os clientes da AC, como Let’s Encrypt e ACME, como o Certbot, se tornarão mais valiosos daqui para frente, pois forçariam os administradores do site a usar um certificado emitido por um ano ou menos.
Como certificados de curta duração aumentam a segurança?
O limite de duração do certificado melhora a segurança do site, principalmente porque reduz a possibilidade de criminosos roubarem certificados negligenciados para montar ataques de phishing e malware.
Em segundo lugar, as versões móveis do Chrome e Firefox não verificam proativamente o status do certificado, o que implica que um site cujo certificado foi revogado continuará sendo carregado sem dar nenhum aviso ao usuário.
Isso ocorre por motivos de desempenho, pois os navegadores terão que acabar baixando as listas de revogação de certificados (CRLs) que podem ser bastante grandes em tamanho, afetando o carregamento da página.
Em vez disso, o Chrome usa o CRLSets para “bloquear certificados em situações de emergência”, enquanto a Mozilla experimenta o CRLite em suas versões noturnas.
Além dessas técnicas, o fabricante do Firefox também anunciou especificações técnicas para um novo protocolo criptográfico chamado ” Credenciais delegadas para TLS “, que permite que as empresas assumam controle parcial sobre o processo de assinatura de novos certificados para si mesmas – com um período de validade de por mais de sete dias e sem depender inteiramente da autoridade de certificação.
Fonte: Com informações do artigo publicado pelo The Hacker News
Acompanhe o maior conteúdo sobre TLS e SSL
Gerencie a expiração dos certificados SSL e TLS
