Let's Encrypt और ACME प्रोटोकॉल स्वचालन

Let's Encrypt, Internet Security Research Group (ISRG) द्वारा संचालित एक मुफ़्त, स्वचालित और मुक्त प्रमाणपत्र प्राधिकरण है, जिसे दिसंबर 2015 में सार्वजनिक बीटा के रूप में शुरू किया गया था। इसने 3 अरब से अधिक प्रमाणपत्र जारी किए हैं और सार्वजनिक रूप से विश्वसनीय TLS प्रमाणपत्र प्राप्त करने की लागत और जटिलता समाप्त करके पूरे वेब पर HTTPS को अपनाने में नाटकीय वृद्धि की है।

Automated Certificate Management Environment (ACME) प्रोटोकॉल, जिसे 2019 में RFC 8555 के रूप में मानकीकृत किया गया, यह निर्धारित करता है कि क्लाइंट डोमेन के स्वामित्व को स्वचालित रूप से कैसे सिद्ध करें और CA से प्रमाणपत्र कैसे प्राप्त करें। ACME मैन्युअल डोमेन सत्यापन प्रक्रियाओं को क्रिप्टोग्राफ़िक रूप से सत्यापित स्वचालित आदान-प्रदान से बदलता है, जिससे प्रमाणपत्र के पूरे जीवनचक्र का बिना मैन्युअल हस्तक्षेप प्रबंधन संभव होता है।

HTTP-01 चुनौती डोमेन के स्वामित्व का सत्यापन इस तरह करती है कि ACME क्लाइंट को "http://DOMAIN/.well-known/acme-challenge/TOKEN" पर एक विशिष्ट टोकन फ़ाइल रखनी होती है। CA इस URL को प्राप्त करके टोकन का सत्यापन करता है। HTTP-01 को लागू करना आसान है, लेकिन इसके लिए पोर्ट 80 तक पहुँच उपलब्ध होना आवश्यक है और इसका उपयोग वाइल्डकार्ड प्रमाणपत्रों के लिए नहीं किया जा सकता।

DNS-01 चुनौती डोमेन के स्वामित्व का सत्यापन इस तरह करती है कि ACME क्लाइंट को "_acme-challenge.DOMAIN" पर एक विशिष्ट मान वाला DNS TXT रिकॉर्ड बनाना होता है। CA रिकॉर्ड का सत्यापन करने के लिए DNS से पूछताछ करता है। DNS-01 एकमात्र ऐसी चुनौती प्रकार है जो वाइल्डकार्ड प्रमाणपत्र जारी करने का समर्थन करती है ("*.example.com"), और यह तब भी काम करती है जब वेब सर्वर फ़ायरवॉल के पीछे हों।

TLS-ALPN-01 चुनौती एक कस्टम ALPN प्रोटोकॉल पहचानकर्ता "acme-tls/1" का उपयोग करके TLS स्तर पर डोमेन के स्वामित्व का सत्यापन करती है। ACME क्लाइंट पोर्ट 443 पर चुनौती टोकन को एक विशेष एक्सटेंशन में रखकर अस्थायी रूप से एक स्व-हस्ताक्षरित प्रमाणपत्र उपलब्ध कराता है। यह चुनौती चालू वेब सर्वर के बिना काम करती है और लोड-बैलेंस किए गए परिवेशों का समर्थन करती है।

Certbot, Let's Encrypt के लिए Electronic Frontier Foundation का संदर्भ ACME क्लाइंट है। यह प्रमाणपत्र के पूरे जीवनचक्र को स्वचालित करता है: डोमेन सत्यापन, प्रमाणपत्र जारी करना और स्वचालित नवीनीकरण। Certbot में Apache और nginx के लिए ऐसे प्लगइन शामिल हैं जो TLS सेटिंग्स को स्वचालित रूप से कॉन्फ़िगर करते हैं। आधुनिक Linux वितरणों पर इसे "snap install --classic certbot" के माध्यम से स्थापित करें।

अलग-अलग उपयोग-स्थितियों के लिए Certbot के अलावा भी कई ACME क्लाइंट उपलब्ध हैं। acme.sh एक शुद्ध shell script वाला ACME क्लाइंट है, जिसका हल्के परिवेशों में व्यापक रूप से उपयोग किया जाता है। Caddy वेब सर्वर में ACME अंतर्निहित होता है और वह प्रमाणपत्रों का स्वचालित रूप से नवीनीकरण करता है। कंटेनर परिवेशों में उपयोग किया जाने वाला Traefik, कंटेनरीकृत कार्यभार के लिए अपनी certificatesResolvers कॉन्फ़िगरेशन के माध्यम से ACME का प्रबंधन करता है।

Let's Encrypt प्रमाणपत्रों की वैधता अवधि जानबूझकर 90 दिनों की होती है, जिससे स्वचालन को प्रोत्साहन मिलता है और समझौता की गई निजी कुंजियों के जोखिम की अवधि कम होती है। Certbot एक systemd टाइमर या cron कार्य स्थापित करता है, जो दिन में दो बार "certbot renew" चलाकर 30 दिनों के भीतर समाप्त होने वाले किसी भी प्रमाणपत्र का नवीनीकरण करता है। मैन्युअल नवीनीकरण एक अवांछित प्रथा है, जिससे सेवा बाधित हो सकती है।

दुरुपयोग रोकने के लिए Let's Encrypt दर सीमाएँ लागू करता है। मुख्य सीमाएँ प्रति पंजीकृत डोमेन प्रति सप्ताह 50 प्रमाणपत्र और प्रति सप्ताह 5 समान प्रमाणपत्र हैं। असफल सत्यापन प्रयासों पर भी दर सीमा लागू होती है (प्रति होस्टनाम प्रति घंटे 5 प्रयास)। विकास के दौरान, Let's Encrypt का स्टेजिंग परिवेश ऐसे परीक्षण CA के विरुद्ध असीमित प्रमाणपत्र जारी करने की सुविधा देता है, जिस पर सार्वजनिक रूप से भरोसा नहीं किया जाता।

एकल ACME प्रमाणपत्र में कई डोमेन शामिल किए जा सकते हैं (Subject Alternative Names)। "certbot --domains example.com,www.example.com,api.example.com" तीन SAN वाला प्रमाणपत्र जारी करता है। वाइल्डकार्ड प्रमाणपत्र ("*.example.com") के लिए DNS-01 सत्यापन आवश्यक होता है और वे सभी एक-स्तरीय उपडोमेन को कवर करते हैं। वाइल्डकार्ड स्वयं मूल डोमेन (example.com) को कवर नहीं करते, इसलिए एक अतिरिक्त SAN आवश्यक होता है।

ACME प्रोटोकॉल केवल Let's Encrypt तक सीमित नहीं है। Step-CA (smallstep), EJBCA और HashiCorp Vault जैसे आंतरिक CA, आंतरिक प्रमाणपत्र स्वचालन के लिए ACME एंडपॉइंट उपलब्ध करा सकते हैं। इससे सार्वजनिक सेवाओं के लिए उपयोग किए जाने वाले उसी स्वचालित प्रमाणपत्र जीवनचक्र प्रबंधन को आंतरिक mTLS अवसंरचना और निजी सेवाओं पर भी लागू किया जा सकता है।

Let's Encrypt, ACME प्रोटोकॉल (RFC 8555) के माध्यम से मुफ़्त प्रमाणपत्र उपलब्ध कराता है। HTTP-01 चुनौती पोर्ट 80 पर गैर-वाइल्डकार्ड प्रमाणपत्रों के लिए काम करती है। DNS-01, DNS ज़ोन पर नियंत्रण सिद्ध करके वाइल्डकार्ड प्रमाणपत्र सक्षम करती है। TLS-ALPN-01 बिना वेब सर्वर के काम करती है। Certbot और acme.sh पूरे जीवनचक्र को स्वचालित करते हैं। 90-दिन वाले प्रमाणपत्रों के लिए स्वचालन आवश्यक है। दर सीमाओं के कारण परीक्षण के दौरान स्टेजिंग परिवेश का उपयोग करना आवश्यक होता है।