Let's Encrypt och automatisering med ACME-protokollet

Let's Encrypt är en kostnadsfri, automatiserad och öppen certifikatutfärdare som drivs av Internet Security Research Group (ISRG) och lanserades som offentlig betaversion i december 2015. Organisationen har utfärdat över 3 miljarder certifikat och har kraftigt ökat användningen av HTTPS på webben genom att undanröja kostnaden och komplexiteten i att skaffa offentligt betrodda TLS-certifikat.

Protokollet Automated Certificate Management Environment (ACME), som standardiserades som RFC 8555 år 2019, definierar hur klienter automatiskt bevisar att de äger en domän och tar emot certifikat från certifikatutfärdare (CA:er). ACME ersätter manuella processer för domänvalidering med ett kryptografiskt verifierat automatiserat utbyte, vilket möjliggör helt automatiserad hantering av certifikatens livscykel.

HTTP-01-utmaningen validerar domänägarskap genom att kräva att ACME-klienten placerar en specifik tokenfil på "http://DOMAIN/.well-known/acme-challenge/TOKEN". CA:n hämtar denna URL för att verifiera token. HTTP-01 är enkel att implementera, men kräver att port 80 är åtkomlig och kan inte användas för wildcardcertifikat.

DNS-01-utmaningen validerar domänägarskap genom att kräva att ACME-klienten skapar en DNS TXT-post på "_acme-challenge.DOMAIN" med ett specifikt värde. CA:n frågar DNS för att verifiera posten. DNS-01 är den enda utmaningstyp som stöder utfärdande av wildcardcertifikat ("*.example.com") och fungerar även när webbservrar befinner sig bakom brandväggar.

TLS-ALPN-01-utmaningen validerar domänägarskap på TLS-lagret med hjälp av en anpassad ALPN-protokollidentifierare, "acme-tls/1". ACME-klienten tillhandahåller tillfälligt ett självsignerat certifikat med utmaningstoken i ett särskilt tillägg på port 443. Den här utmaningen fungerar utan en körande webbserver och stöder lastbalanserade miljöer.

Certbot är Electronic Frontier Foundations referensklient för ACME och Let's Encrypt. Den automatiserar hela certifikatets livscykel: domänvalidering, certifikatutgivning och automatisk förnyelse. Certbot innehåller pluginprogram för Apache och nginx som automatiskt konfigurerar TLS-inställningar. Installera via "snap install --classic certbot" på moderna Linux-distributioner.

Det finns många ACME-klienter utöver Certbot, anpassade för olika användningsområden. acme.sh är en ACME-klient i form av ett rent skalskript som används ofta i resurssnåla miljöer. Webbservern Caddy har inbyggt ACME-stöd och förnyar certifikat automatiskt. Traefik, som används i containerbaserade miljöer, hanterar ACME via sin certificatesResolvers-konfiguration för containeriserade arbetsbelastningar.

Let's Encrypt-certifikat har medvetet en giltighetstid på 90 dagar för att uppmuntra till automatisering och minska den tid då komprometterade privata nycklar kan utnyttjas. Certbot installerar en systemd-timer eller ett cron-jobb som kör "certbot renew" två gånger per dygn och förnyar alla certifikat som löper ut inom 30 dagar. Manuell förnyelse är ett antimönster som leder till driftavbrott.

Let's Encrypt tillämpar frekvensbegränsningar för att förhindra missbruk. De viktigaste begränsningarna är 50 certifikat per registrerad domän och vecka samt 5 identiska certifikat per vecka. Även misslyckade valideringsförsök begränsas (5 per värdnamn och timme). Under utveckling erbjuder Let's Encrypts staging-miljö obegränsad certifikatutgivning mot en test-CA som inte är offentligt betrodd.

Ett enda ACME-certifikat kan omfatta flera domäner (Subject Alternative Names). "certbot --domains example.com,www.example.com,api.example.com" utfärdar ett certifikat med tre SAN. Wildcardcertifikat ("*.example.com") kräver DNS-01-validering och omfattar alla underdomäner på en enda nivå. Wildcardcertifikat omfattar inte själva apex-domänen (example.com), så ytterligare ett SAN krävs.

ACME-protokollet är inte begränsat till Let's Encrypt. Interna certifikatutfärdare som Step-CA (smallstep), EJBCA och HashiCorp Vault kan exponera ACME-endpoints för intern certifikatautomatisering. Därmed kan samma automatiserade hantering av certifikatens livscykel som används för publika tjänster även tillämpas på intern mTLS-infrastruktur och privata tjänster.

Let's Encrypt tillhandahåller kostnadsfria certifikat via ACME-protokollet (RFC 8555). HTTP-01-utmaningar fungerar för certifikat som inte är wildcardcertifikat på port 80. DNS-01 möjliggör wildcardcertifikat genom att bevisa kontroll över DNS-zonen. TLS-ALPN-01 fungerar utan en webbserver. Certbot och acme.sh automatiserar hela livscykeln. Certifikat med 90 dagars giltighet kräver automatisering. Frekvensbegränsningar gör det nödvändigt att använda staging-miljön under testning.