Bei Let’s Encrypt (letsencrypt.org) handelt es sich um eine neue Certificate Authority (CA), welche eine radikale Vereinfachung der Verschlüsselung von Webseitenkommunikation zum Ziel hat. Let’s Encrypt bietet automatische Domain Validation (DV) an. Sie gibt also SSL-Zertifikate gestützt auf die Tatsache aus, dass sich der Eigentümer des Servers resp. der Domain rein auf Basis von Technik identifiziert. Der genauere Ablauf dieser DV lässt sich hier nachlesen: how-it-works. Weder Bestätigungsmails noch das Vorzeigen eines Ausweises ist notwendig.
Let’s Encrypt bietet im Moment nur DV an, also keine Organization Validation (OV) oder eine Extendet Validation (EV). Vielleicht wird das Angebot in Zukunft noch ausgebaut. Ich würde das sehr begrüssen.
Ebenfalls werden im Moment keine Wildcard Certificates angeboten (z.B. *.143bis.ch), damit würde dasselbe Zertifikat auch fehlerfrei für Subdomains wie “www.143bis.ch” oder “hallowelt.143bis.ch” funktionieren. Der Client von Let’s Encrypt bietet jedoch genau solche Wildcard Certificates zur Auswahl an, wenn man ihn ausführt. Dabei handelt es sich um einen Bug (offene Tickets auf github). Diese Wildcards müssen abgewählt werden, sonst bricht der Client mit folgender Fehlermeldung ab: “An unexpected error occurred: The request message was malformed :: Error creating new authz :: Invalid character in DNS name”.
Kleiner Crash-Kurs
Die Anzeige des Let’s Encrypt Clients basiert auf curses (curses-Bibliothek von Python). Sie sehen die Anzeige gleich nachfolgend; das ist eine typische curses-Darstellung:
curses Oberfläche des Let’s Encrypt-Clients (./letsencrypt-auto) mit ausgewählter Wildcard-Option
Der erste Eintrag enthält zwei Sterne (*). Der erste Stern ist weiss und in eckigen Klammern ([*]). Er zeigt an, dass die Option ausgewählt wurde. Um die Option zu deaktivieren, drücken Sie einfach die Leertaste und die Option wird abgewählt. Der Stern in den eckigen Klammern verschwindet. Beim zweiten roten Stern in “*.143bis.ch” handelt es sich sodann um eine sog. Wildcard, welche zur besagten Fehlermeldung führt, wenn sie nicht abgewählt wird. Wird der Wildcard-Eintrag abgewählt, sieht die Anzeige wiefolgt aus:
Nach einer Bestätigung des OK-Schalters mit Enter wird Ihnen die Frage gestellt, ob Sie standardmässig nur noch verschlüsselt kommunizieren wollen oder beides anbieten wollen (also ungesichertes http und gesichertes https). Ich empfehle Ihnen unabhängig von der Vertraulichkeit des Webseiteninhalts immer verschlüsselt zu kommunizieren. Es gibt keinen Grund, auf Verschlüsselung zu verzichten.
Auswahlmöglichkeit, im Let’s Encrypt-Client entweder nur sichere (https) oder nebst sicherer auch unverschlüsselte (http) Kommunikation anzubieten.
Das ist im Übrigen schon alles, was Sie beim Let’s Encrypt-Client tun müssen. Danach kommuniziert Ihre Website automatisch verschlüsselt. Einfacher geht es kaum! Das Konzept von Let’s Encrypt wird massgebende Auswirkung auf die Internetsicherheit haben. 143bis.ch promotet Let’s Encrypt deshalb bis auf Weiteres mit einem Banner in der rechten Seitennavigation.
Ein Mangel besteht zur Zeit noch: Die Automatisierung existiert noch nicht. Alle drei Monate ist der vorher beschriebene Vorgang zu wiederholen. Andernfalls läuft das Zertifikat aus und die Besucher Ihrer Website sehen eine Warnung, das Zertifikat sei abgelaufen.
Nicht vergessen: Steht Ihr Webserver hinter einer Firewall, so müssen Sie ihm neben Port 80 (für http) nun neu auch Port 443 (für https) öffnen.