Let's Encrypt และการทำงานอัตโนมัติด้วยโพรโทคอล ACME

Let's Encrypt เป็น CA ที่ให้บริการฟรี ทำงานอัตโนมัติ และเปิดกว้าง ดำเนินการโดยกลุ่มวิจัยความปลอดภัยอินเทอร์เน็ต (ISRG) และเปิดตัวรุ่นเบตาสาธารณะในเดือนธันวาคม 2015 ปัจจุบันได้ออกใบรับรองไปแล้วมากกว่า 3 พันล้านใบ และเพิ่มการใช้งาน HTTPS ทั่วเว็บอย่างมาก ด้วยการขจัดค่าใช้จ่ายและความซับซ้อนในการขอใบรับรอง TLS ที่ได้รับความเชื่อถือจากสาธารณะ

โปรโตคอล ACME หรือสภาพแวดล้อมการจัดการใบรับรองอัตโนมัติ (Automated Certificate Management Environment) ซึ่งได้รับการกำหนดมาตรฐานเป็น RFC 8555 ในปี 2019 ระบุวิธีที่ไคลเอนต์จะพิสูจน์ความเป็นเจ้าของโดเมนโดยอัตโนมัติและรับใบรับรองจาก CA โปรโตคอล ACME แทนที่กระบวนการตรวจสอบโดเมนด้วยการแลกเปลี่ยนอัตโนมัติที่ผ่านการตรวจสอบทางการเข้ารหัส ทำให้สามารถจัดการวงจรชีวิตใบรับรองโดยไม่ต้องดำเนินการด้วยตนเอง

การท้าทาย HTTP-01 ตรวจสอบความเป็นเจ้าของโดเมนโดยกำหนดให้ไคลเอนต์ ACME วางไฟล์โทเค็นที่ระบุไว้ที่ "http://DOMAIN/.well-known/acme-challenge/TOKEN" จากนั้น CA จะเรียก URL นี้เพื่อยืนยันโทเค็น HTTP-01 นำไปใช้งานได้ง่าย แต่ต้องเปิดให้เข้าถึงพอร์ต 80 และไม่สามารถใช้กับใบรับรองไวลด์การ์ดได้

การท้าทาย DNS-01 ตรวจสอบความเป็นเจ้าของโดเมนโดยกำหนดให้ไคลเอนต์ ACME สร้างระเบียน TXT ของ DNS ที่ "_acme-challenge.DOMAIN" พร้อมค่าที่ระบุไว้ จากนั้น CA จะสอบถาม DNS เพื่อยืนยันระเบียนดังกล่าว DNS-01 เป็นการท้าทายประเภทเดียวที่รองรับการออกใบรับรองไวลด์การ์ด ("*.example.com") และยังทำงานได้แม้เว็บเซิร์ฟเวอร์จะอยู่หลังไฟร์วอลล์

การท้าทาย TLS-ALPN-01 ตรวจสอบความเป็นเจ้าของโดเมนที่ชั้น TLS โดยใช้ตัวระบุโปรโตคอล ALPN แบบกำหนดเอง "acme-tls/1" ไคลเอนต์ ACME จะให้บริการใบรับรองที่ลงนามด้วยตนเองเป็นการชั่วคราว พร้อมโทเค็นการท้าทายในส่วนขยายพิเศษบนพอร์ต 443 การท้าทายนี้ทำงานได้โดยไม่ต้องมีเว็บเซิร์ฟเวอร์ที่กำลังทำงาน และรองรับสภาพแวดล้อมที่มีการกระจายโหลด

Certbot เป็นไคลเอนต์ ACME อ้างอิงของมูลนิธิพรมแดนอิเล็กทรอนิกส์สำหรับ Let's Encrypt โดยทำให้วงจรชีวิตใบรับรองทั้งหมดเป็นอัตโนมัติ ได้แก่ การตรวจสอบโดเมน การออกใบรับรอง และการต่ออายุโดยอัตโนมัติ Certbot มีปลั๊กอินสำหรับ Apache และ nginx ที่กำหนดค่าการตั้งค่า TLS โดยอัตโนมัติ ในดิสทริบิวชัน Linux รุ่นใหม่ ให้ติดตั้งด้วยคำสั่ง "snap install --classic certbot"

นอกจาก Certbot แล้ว ยังมีไคลเอนต์ ACME อีกมากมายสำหรับกรณีการใช้งานที่แตกต่างกัน acme.sh เป็นไคลเอนต์ ACME ที่เป็นสคริปต์เชลล์ล้วน ซึ่งใช้กันอย่างแพร่หลายในสภาพแวดล้อมที่มีทรัพยากรจำกัด เว็บเซิร์ฟเวอร์ Caddy มี ACME ในตัวและต่ออายุใบรับรองโดยอัตโนมัติ ส่วน Traefik ซึ่งใช้ในสภาพแวดล้อมคอนเทนเนอร์ จะจัดการ ACME ผ่านการกำหนดค่า certificatesResolvers สำหรับงานที่ทำงานในคอนเทนเนอร์

ใบรับรองของ Let's Encrypt มีระยะเวลามีผล 90 วันโดยตั้งใจ เพื่อส่งเสริมการทำงานอัตโนมัติและลดช่วงเวลาที่คีย์ส่วนตัวซึ่งถูกบุกรุกอาจสร้างความเสียหายได้ Certbot จะติดตั้งตัวจับเวลาของ systemd หรืองาน cron ที่ทำงานด้วยคำสั่ง "certbot renew" วันละสองครั้ง เพื่อเปลี่ยนใบรับรองใด ๆ ที่จะหมดอายุภายใน 30 วัน การต่ออายุด้วยตนเองเป็นรูปแบบที่ควรหลีกเลี่ยง เพราะอาจทำให้บริการหยุดชะงัก

Let's Encrypt บังคับใช้ขีดจำกัดอัตราเพื่อป้องกันการใช้งานในทางที่ผิด ขีดจำกัดหลักคือใบรับรอง 50 ใบต่อโดเมนที่จดทะเบียนหนึ่งโดเมนต่อสัปดาห์ และใบรับรองซ้ำ 5 ใบต่อสัปดาห์ ความพยายามตรวจสอบที่ล้มเหลวก็ถูกจำกัดอัตราเช่นกัน โดยกำหนดไว้ที่ 5 ครั้งต่อชื่อโฮสต์ต่อชั่วโมง ระหว่างการพัฒนา สภาพแวดล้อมสำหรับทดสอบของ Let's Encrypt จะออกใบรับรองได้ไม่จำกัด โดยใช้ CA สำหรับการทดสอบที่ไม่ได้รับความเชื่อถือจากสาธารณะ

ใบรับรอง ACME ใบเดียวสามารถครอบคลุมหลายโดเมนได้ (ชื่อทางเลือกของหัวเรื่อง) คำสั่ง "certbot --domains example.com,www.example.com,api.example.com" จะออกใบรับรองที่มี SAN สามรายการ ใบรับรองไวลด์การ์ด ("*.example.com") ต้องใช้การตรวจสอบ DNS-01 และครอบคลุมโดเมนย่อยระดับเดียวทั้งหมด ใบรับรองไวลด์การ์ดไม่ครอบคลุมโดเมนหลัก (example.com) เอง จึงต้องเพิ่ม SAN อีกหนึ่งรายการ

โปรโตคอล ACME ไม่ได้จำกัดอยู่เพียง Let's Encrypt เท่านั้น CA ภายใน เช่น Step-CA (smallstep), EJBCA และ HashiCorp Vault สามารถเปิดปลายทาง ACME เพื่อทำให้การจัดการใบรับรองภายในเป็นอัตโนมัติได้ วิธีนี้ทำให้สามารถนำการจัดการวงจรชีวิตใบรับรองแบบอัตโนมัติเดียวกับที่ใช้กับบริการที่เปิดให้สาธารณะเข้าถึง มาปรับใช้กับโครงสร้างพื้นฐาน mTLS ภายในและบริการส่วนตัวได้

Let's Encrypt ให้บริการใบรับรองฟรีผ่านโปรโตคอล ACME (RFC 8555) การท้าทาย HTTP-01 ใช้ได้กับใบรับรองที่ไม่ใช่ไวลด์การ์ดบนพอร์ต 80 DNS-01 รองรับใบรับรองไวลด์การ์ดด้วยการพิสูจน์การควบคุมโซน DNS TLS-ALPN-01 ทำงานได้โดยไม่ต้องมีเว็บเซิร์ฟเวอร์ Certbot และ acme.sh ช่วยทำให้วงจรชีวิตทั้งหมดเป็นอัตโนมัติ ใบรับรองอายุ 90 วันจำเป็นต้องมีกระบวนการอัตโนมัติ และขีดจำกัดอัตราทำให้ต้องใช้สภาพแวดล้อมสำหรับทดสอบระหว่างการทดสอบ