Loading article…
Let's Encryptは、インターネット セキュリティ リサーチ グループ(ISRG)が運営する非営利の認証局で、トランスポート レイヤー セキュリティ(TLS) 暗号化用のX.509証明書を無料で提供しています。世界最大の認証局であり[ 3 ] 、 7 億以上のWeb サイトが利用しており[ 4 ]、HTTPSの普及を通じて、より安全でプライバシーを尊重する Web を構築することを目標としています。サービスの提供元であるインターネット セキュリティ リサーチ グループ(ISRG) は、公益団体です[ 5 ] 。ISRGの主なスポンサーには、電子フロンティア財団(EFF)、Mozilla Foundation、OVHcloud、Cisco Systems、Facebook、Google Chrome、インターネット ソサエティ、AWS、nginx、およびGates Foundationが含まれます[ 6 ]。その他のパートナーには、認証局IdenTrust [ 7 ]、ミシガン大学[ 8 ] 、 Linux Foundation [ 9 ] [ 10 ]などがあります。
この組織の使命は、HTTPS の普及を促進することで、より安全でプライバシーを尊重するワールド ワイド ウェブを構築することです。 [ 11 ] Let's Encrypt 証明書はデフォルトで 90 日間有効で、その間はいつでも更新できます。[ 12 ]オプションで、45 日間 (tlsserver プロファイル) および 6 日間 (shortlived プロファイル) 有効な証明書を発行できます。[ 13 ] [ 14 ]これは、安全な Web サイト用の証明書の手動作成、検証、署名、インストール、および更新を克服するように設計された自動化されたプロセスによって処理されます。[ 15 ] [ 16 ]このプロジェクトは、ワールド ワイド ウェブ サーバーへの暗号化された接続を普及させることを目標としていると主張しています。[ 17 ]支払い、ウェブ サーバーの設定、検証メール管理、証明書の更新タスクを排除することで、TLS 暗号化の設定と維持の複雑さを大幅に軽減することを目的としています。[ 18 ]
Linux Web サーバーでは、わずか 2 つのコマンドを実行するだけでHTTPS暗号化を設定し、証明書を取得してインストールできます。 [ 19 ] [ 20 ]そのため、公式のDebianおよびUbuntuソフトウェア リポジトリにソフトウェア パッケージが組み込まれました。[ 21 ] [ 22 ] MozillaやGoogleなどの主要ブラウザ開発者による暗号化されていないHTTPを非推奨にする現在の取り組みは、Let's Encrypt の利用可能性に依存しています。[ 23 ] [ 24 ]このプロジェクトは、Web 全体のデフォルトとして暗号化された接続を実現する可能性を秘めていると認められています。[ 25 ]
このサービスは、完全に自動化できるため、ドメイン検証済みの証明書のみを発行します。組織検証証明書と拡張検証証明書は、登録者の人間による検証が必要なため、Let's Encrypt では提供されていません。[ 26 ] ACME v2とワイルドカード証明書のサポートは、2018 年 3 月に追加されました。[ 27 ] Let's Encrypt が使用するドメイン検証 (DV) は 2002 年に遡り、当初はGeoTrustによって導入された際に物議を醸しましたが、その後 SSL 証明書の発行方法として広く受け入れられるようになりました。[ 28 ]
同組織は、可能な限り透明性を高めることで、自らの信頼性を守り、攻撃や操作の試みから身を守ることを目指している。そのため、定期的に透明性レポートを公開し[ 29 ] 、すべてのACMEトランザクションを公開ログに記録し（例えば、証明書透明性を使用）、可能な限りオープンスタンダードとフリーソフトウェアを使用している[ 19 ] 。
Let's Encryptプロジェクトは、2012年にMozillaの従業員であるJosh AasとEric Rescorlaが、Electronic Frontier FoundationのPeter Eckersleyとミシガン大学のJ. Alex Haldermanと共に開始しました。Let 's Encryptを運営するInternet Security Research Groupは、2013年5月に設立されました。[ 8 ]
Let's Encryptは2014年11月18日に公表された。[ 30 ]
2015年1月28日、ACMEプロトコルが標準化のためにIETFに正式に提出されました。[ 31 ] 2015年4月9日、ISRGとLinux Foundationは協力関係を発表しました。[ 9 ] ルート証明書と中間証明書は6月初旬に生成されました。[ 32 ] 2015年6月16日、サービスの最終的なローンチスケジュールが発表され、最初の証明書は2015年7月27日の週に発行される予定で、その後、セキュリティと拡張性をテストするための限定的な発行期間が続きます。当初、このサービスの一般提供開始は2015年9月14日の週に予定されていました。[ 33 ] 2015年8月7日、システムのセキュリティと安定性を確保するための時間を増やすため、開始スケジュールが変更され、最初の証明書は2015年9月7日の週に発行され、その後2015年11月16日の週に一般提供が開始されることになりました。[ 34 ]
2015年9月14日、Let's Encryptはhelloworld.letsencrypt.org
2015年10月19日、中間証明書がIdenTrustによってクロス署名されるようになり、Let's Encryptが発行するすべての証明書がすべての主要ブラウザで信頼されるようになった。[ 7 ]
2015 年 11 月 12 日、Let's Encrypt は一般提供開始を延期し、最初のパブリック ベータ版を 2015 年 12 月 3 日に開始すると発表した。 [ 36 ]パブリック ベータ版は 2015 年 12 月 3 日[ 37 ]から2016 年 4 月 12 日[ 38 ]まで実施された。2016 年 4 月 12 日に正式にリリースされた。[ 39 ] [ 40 ] [ 5 ]
2020年3月3日、Let's Encryptは、認証局ソフトウェアの欠陥のため、3月4日に300万件以上の証明書を失効させなければならないと発表した。 [ 41 ] Let's Encryptは、ソフトウェアベンダーと協力し、サイト運営者に連絡を取ることで、期限前に影響を受けた証明書のうち170万件を更新することができた。セキュリティリスクが低く、証明書の有効期限が今後90日以内に切れるため、残りの影響を受けた証明書は最終的に失効させないことにした。[ 42 ]この大量失効により、世界的な失効率が大幅に上昇した。[ 43 ]
2020年3月、Let's Encryptはフリーソフトウェア財団の社会貢献プロジェクト賞を毎年受賞した。[ 44 ]
2020年2月27日、Let's Encryptは10億個の証明書を発行したと発表した。[ 45 ]
2022年4月、Let's Encryptは「すべての人に無料の証明書を提供する証明書エコシステムの根本的な改善」により、レフチン賞を受賞しました。 [ 46 ]
2025年現在、Let's Encryptは世界中で7億以上のウェブサイトにサービスを提供しており、世界最大の認証局となっています。[ 4 ]
2025年1月、Let's Encryptは無料のメール有効期限通知の廃止を発表し、証明書監視サービスとしてRed Sift Certificates Liteを推奨した。 [ 47 ] [ 48 ]
2015 年 6 月、Let's Encrypt は、初のRSAルート証明書である ISRG Root X1 の生成を発表しました。 [ 49 ]このルート証明書は、2 つの中間証明書の署名に使用され、[ 49 ]これらの中間証明書は、認証局IdenTrustによって相互署名されています。[ 7 ] [ 50 ]中間証明書の 1 つは発行された証明書の署名に使用され、もう 1 つは最初の中間証明書に問題が発生した場合のバックアップとしてオフラインで保持されます。[ 49 ] IdenTrust 証明書は主要な Web ブラウザですでに広く信頼されているため、ブラウザ ベンダーがISRGルート証明書を信頼アンカーとして含める前であっても、通常は依拠当事者によって検証および受け入れられます。[ 32 ]
Let's Encrypt の開発者は 2015 年にECDSAルートキーを生成する計画を立てましたが、[ 49 ]その後、計画を 2016 年初頭、2019 年、そして最終的に 2020 年に延期しました。2020 年 9 月 3 日に、Let's Encrypt は 6 つの新しい証明書を発行しました。1 つの新しい ECDSA ルート「ISRG Root X2」、4 つの中間証明書、および 1 つのクロス署名です。新しい ISRG Root X2 は、Let's Encrypt 自身のルート証明書である ISRG Root X1 とクロス署名されています。Let's Encrypt は新しい中間証明書に対して OCSP レスポンダーを発行せず、代わりに証明書失効リスト(CRL) のみを使用して侵害された証明書を回収し、証明書侵害の危険性を減らすために有効期間を短くする予定です。[ 51 ]
認証局への登録を自動化するために使用されるチャレンジ・レスポンス・プロトコルは、自動証明書管理環境（ACME）と呼ばれます。ACMEは、発行される証明書の対象となるドメインが管理するWebサーバーまたはDNSサーバーに問い合わせることができます。結果として得られる応答が期待値と一致するかどうかに基づいて、登録者がドメインを制御できることが保証されます（ドメイン検証）。ACMEクライアントソフトウェアは、サーバー名表示（DVSNI）を使用したリクエストでACME認証局サーバーから問い合わせを受ける専用のTLSサーバーを設定することも、フックを使用して既存のWebサーバーやDNSサーバーに応答を公開することもできます。
検証プロセスは、複数の異なるネットワークパスを介して複数回実行されます。DNSエントリがプロビジョニングされているかどうかの確認は、地理的に分散した複数の場所から行われるため、DNSスプーフィング攻撃の実行が困難になります。
ACME のやり取りは、HTTPS 接続を介してJSONドキュメントを交換することに基づいています。[ 52 ]インターネット技術タスクフォース(IETF)によって開発された仕様は、RFC 8555 という提案された標準です。[ 53 ]
RFC 8555 の完成と公開に先立ち、Let's Encrypt は ACME プロトコルのプレスタンダードドラフトを実装しました。RFC 8555 は破壊的変更を導入したため、ACMEv2 と呼ばれています。Let's Encrypt は新バージョンを実装し、既存のクライアントにアップグレードを促し始めました。この促しは、ACMEv1 API の断続的なダウンタイムによって実施されました。「ACMEv1 の終了計画」で、終了日とフェーズが発表されました。[ 54 ] 2019 年 11 月 8 日以降、ACMEv1 は新規アカウント登録を受け付けなくなりました。2020 年 6 月以降、ACMEv1 は新規ドメイン検証を受け付けなくなりました。2021 年 1 月以降、ACMEv1 は 24 時間ブラウンアウトを実施しました。ACMEv1 API は 2021 年 6 月 1 日に完全に停止されました。[ 55 ]
認証局は、 Go言語で書かれた Boulder と呼ばれるソフトウェアで構成されており、 ACMEプロトコルのサーバー側を実装しています。これは、Mozilla Public License (MPL)バージョン 2 の条件に基づいてソース コード付きのフリー ソフトウェアとして公開されています。[ 56 ] TLS で暗号化されたチャネル経由でアクセスできるRESTful APIを提供します。
Apacheライセンスの[ 57 ] Python証明書管理プログラムであるcertbot (旧称letsencrypt ) がクライアント側 (登録者の Web サーバー) にインストールされます。これは、証明書の注文、ドメイン検証プロセスの実行、証明書のインストール、HTTP サーバーでの HTTPS 暗号化の設定、およびその後の証明書の定期的な更新に使用されます。[ 19 ] [ 58 ]インストールしてユーザーライセンスに同意した後、有効な証明書をインストールするには、単一のコマンドを実行するだけで十分です。OCSPステープリングやHTTP Strict Transport Security (HSTS)などの追加オプションも有効にできます。[ 52 ]自動セットアップは、最初はApacheとnginxでのみ機能します。
Let's Encryptは90日間有効な証明書を発行します。その理由は、これらの証明書が「鍵の漏洩や誤発行による損害を制限」し、自動化を促進するためです。[ 59 ]
当初、Let's Encrypt は公式実装として独自の ACME クライアントであるCertbotを開発しました。これはElectronic Frontier Foundationに移管され、その名前は「letsencrypt」から「certbot」に変更されました。コミュニティによって開発されたさまざまな環境向けの ACME クライアントとプロジェクトが多数存在します。[ 60 ]
{{cite web}}: CS1 maint: 複数の名前: 著者リスト (リンク)