Let's Encrypt está optimizado para el uso automatizado . Existen interfaces web y herramientas de línea de comandos que puede utilizar de forma manual para validar y obtener los archivos de certificado .pem . Sin embargo, esto es inconveniente, y los certificados de Encrypt caducan después de 3 meses .
Sin embargo, muchos registradores (es decir, NameCheap solo por nombrar uno) ofrecen certificados DV por $ 10 (USD) por año . Está optimizado para la instalación manual de certificados y le permitirá renovar una vez cada 3 años en lugar de cada 12 semanas.
En el peor de los casos, usted gasta $ 10 para ahorrar de 1 a 2 horas de trabajo y seguimiento cada año. En el mejor de los casos, se ahorra tiempo de inactividad accidental.
¿Es seguro tener un certificado de Let's Encrypt?
Sí. Citando a @Simone Carletti: "Let's Encrypt es una Autoridad de Certificación, y tienen más o menos los mismos privilegios y poder de cualquier otra autoridad de certificación existente (y más grande) en el mercado."
Hipotéticamente, si una CA está comprometida, el atacante puede firmar certificados para cualquier dominio.
-
Sus visitantes podrían estar sujetos a MiTM de este atacante en particular. Esto se mitiga parcialmente si usó Fijación de clave pública . En cualquier caso, no importa si usó la CA comprometida o no . Los navegadores confían en todas las CA por igual.
-
Una vez descubierta la violación, muchos navegadores dejarán de confiar en la CA comprometida. Para esos navegadores, solo si estuviera utilizando la CA comprometida , su sitio dejaría de funcionar, nada más. Cambiaría a otra CA para restaurar el servicio.
La clave privada y el proceso DV pueden protegerse completamente incluso con este ataque cibernético más sofisticado. (excepto el DoS que no es relevante aquí) Sería raro que una CA exponga accidentalmente una vulnerabilidad que permita que tal ataque tenga éxito . El punto de falla más probable es que los humanos trabajen en la empresa, por lo que una buena estructura organizativa en la AC también es importante.
Pasé por el procedimiento para obtener un certificado de Let's Encrypt; Lo que entiendo es que tengo que instalar la herramienta ACME o algunos scripts que harán los trabajos automáticamente por mí.
Para eso está optimizado, pero hay soluciones manuales.
ACME (u otros scripts similares) creará un archivo temporal con algo de texto basura para verificar la propiedad del dominio mediante el programa Let's Encrypt. Mi servidor no tiene estas capacidades.
No lo llamaría basura jajaja! Pero sí, este token aleatorio se llama validación HTTP de una solicitud de certificado, y así es como funciona el sistema ACME.
Let's Encrypt podría ofrecer una manera de usar la validación de DNS, en cuyo caso el token aleatorio se coloca en un registro TXT .
Sin embargo, las CA tradicionales (revendidas por $ 10 / año) ofrecen validación por correo electrónico. Esto es lo que suelo usar y es el más fácil de abordar. El token aleatorio se incluye en un enlace en el correo electrónico, por lo que es bastante fácil de usar.