Encrypt 가 무료 SSL 인증서를 제공하고 있습니다. 다른 유료 인증서와 비교할 때 단점이 있습니까 (예 : AWS Certificate Manager) ?
답변:
수명이 짧을수록 좋습니다. 해지가 대부분 이론적이기 때문에 실제로는 신뢰할 수 없습니다 (공공 PKI 생태계의 큰 약점).
자동화없이 : 긴 수명이 더 편리합니다. 어떤 이유에서든 인증서 관리를 자동화 할 수없는 경우 LE가 실현 불가능할 수 있습니다
. 자동화 : 수명은 중요하지 않습니다.
최종 사용자는 어떤 식 으로든 아이디어를 가지지 않을 것입니다.
Letsencrypt는 DV 수준의 검증 만 제공합니다.
인증서를 구매하면 지불 한 금액 (DV에서 시작하여 LE와 동일한 수준의 어설 션으로)을 얻을 수 있습니다.
DV = 도메인 이름 제어 만 확인되었습니다.
OV = 소유자 엔티티 (조직) 정보가 추가로 확인됩니다.
EV = 전통적으로 "녹색 막대"로 수여 된 OV의보다 철저한 버전 (하지만 "녹색 막대"는 곧 사라질 것으로 보입니다).
LE를 사용할 때 필요한 작업은 도메인 제어를 증명하기 위해 필요한 자동화를 설정하는 것입니다. 작업량은 환경에 따라 다릅니다.
인증서를 구매할 때 DV / OV / EV 레벨은 인증서를 얻기 위해 얼마나 많은 수동 작업이 필요한지를 정의합니다. DV의 경우 일반적으로 마법사가 비용을 지불하고 복사 / 붙여 넣기하거나 클릭하는 마법사를 거치게됩니다. OV 및 EV의 경우 신원을 확인하기 위해 추가 단계를 수행하기 위해 별도로 연락해야 할 필요가 있습니다.
최종 사용자는 실제로 인증서 내용을 보지 않는 것 외에 현재 EV "녹색 막대"(인출 예정)를 인식 할 수 있습니다.
그러나 이론적으로는 통제 실체에 관한 정보를 명시한 인증서가 더 도움이된다. 그러나 브라우저 (또는 다른 클라이언트 응용 프로그램)는 일반적인 사용자에게 영향을 미치기 전에 실제로 유용한 방법으로 이것을 표시해야합니다.
개인 키 또는 이와 유사한 것을 노출시키는 방식으로 잘못 수행 할 수 있습니다. LE를 사용하면 제공된 도구가 합리적인 관행을 중심으로 설정됩니다.
자신이하는 일을 아는 사람이 있으면 수동 단계도 확실하게 수행 할 수 있습니다.
LE는 모든 프로세스를 자동화하도록 설계되었으며 서비스는 전적으로 API를 기반으로하며 짧은 수명은 자동화를 중심으로 모든 것을 중심으로하는 방식을 반영합니다.
인증서를 구매할 때 일반 고객에게 API를 제공하는 CA (이 시점에서는 실제로는 표준이 아님)에서도 DV 이외의 다른 것을 자동화하는 것은 어렵습니다.
OV 또는 EV 레벨을 사용하려는 경우 프로세스를 부분적으로 만 자동화 할 수 있습니다.
설치가 올바르게 완료되면 최종 사용자는 분명히 어떻게 수행되었는지 알 수 없습니다. 자동화 된 프로세스를 사용하면 문제가 발생할 가능성 (예 : 갱신 할 때 갱신 또는 설치를 잘못 잊어 버림)이 줄어 듭니다.
기존의 인증서 구매 방법은 OV / EV 인증서를 원하거나 인증서 관리를 자동화하지 않거나 HTTPS 이외의 다른 컨텍스트에서 인증서를 사용하려는 경우에 특히 유용합니다.
순전히 기술적 인 관점에서 :
openssl x509 -in cert.pem -noout -text
X509v3 확장 키 사용법 :
TLS 웹 서버 인증, TLS 웹 클라이언트 인증
최종 사용자 관점에서 :
Let 's Encrypt에 대해 사용 된 인수에 대한 몇 가지 대응점을 제공하고 싶습니다.
짧은 수명
예, FAQ에 설명 된대로 수명이 짧습니다. https://letsencrypt.org/2015/11/09/why-90-days.html 페이지를 인용하려면 :
주요 타협 및 허위 발행으로 인한 피해를 제한합니다. 도난당한 키와 잘못 발급 된 인증서는 더 짧은 기간 동안 유효합니다.
사용 편의성을 위해 반드시 필요한 자동화를 장려합니다. 전체 웹을 HTTPS로 옮길 경우 시스템 관리자가 수동으로 갱신을 처리 할 것으로 기대할 수 없습니다. 발급 및 갱신이 자동화되면 수명이 짧아도 수명이 길지 않습니다.
EV 부족
EV 지원 계획이 없습니다. 추론 ( https://community.letsencrypt.org/t/plans-for-extended-validation/409 )은 다음과 같습니다.
우리는 Let 's Encrypt가 EV를 지원하지 않을 것으로 예상합니다. EV 프로세스에는 항상 사람의 노력이 필요하기 때문에 누군가를 지불해야하기 때문입니다. 우리의 모델은 EV와 호환되지 않는 수준의 자동화가 필요한 인증서를 무료로 발급하는 것입니다.
또한이 블로그 게시물 ( https://stripe.ian.sh/ ) 과 같이 EV가 유해하다고 생각하는 사람들이 있습니다 .
예를 들어 James Burton은 최근 자신의 회사 "Identity Verified"에 대한 EV 인증서를 획득했습니다. 불행히도 사용자는 이러한 엔터티의 뉘앙스를 처리 할 준비가되어 있지 않으므로 피싱에 중요한 벡터를 만듭니다.
이것의 전형적인 실제 예는 sslstrip입니다. 합법적으로 구매 한 인증서가있는 호모 그래프 사이트는 EV가 현재 충분한 방어를 제공하지 않는 실제 공격입니다.
고려해야 할 두 가지 단점이 있습니다.
1. Let 's Encrypt 서비스 사용의 단점
암호화를하려면 정확한 이름 또는 와일드 카드를 요청하는 경우 (하위) 도메인이 공용 인터넷 DNS에 있어야합니다. example.com에 대한 제어 권한을 증명하더라도 Let 's Encrypt는 공용 DNS에서 인증서를 보지 않고 some.other.name.in.example.com에 대한 인증서를 발급하지 않습니다. 이름이 지정된 컴퓨터에는 공개 주소 레코드가 없어도 방화벽을 해제하거나 물리적으로 연결을 끊을 수 있지만 공용 DNS 이름은 존재해야합니다.
인증서 수명을 90 일로 암호화한다고해서 아무도 그럴 시간이 없기 때문에 자동화해야합니다. 이것은 실제로 서비스의 의도입니다. 많은 어려운 작업을 자동화하는 동안 사람들이 수동으로 수행하는 대신이 필수 작업을 자동화하는쪽으로 사람들을 모으기위한 것입니다. 그러나 어떤 이유로 든 자동화 할 수 없다면 부정적인 것입니다. 도구, 어플라이언스 또는 자동화를 차단하는 모든 것이 상업적 SSL 인증서 비용을 해당 도구 / 어플라이언스 / 지속적인 비용 계획의 일부로 고려하십시오. 이를 자동화하는 새로운 도구 / 가전 제품 / 등의 가격으로 상업용 인증서를 구매할 필요가 없기 때문에 반대로 상쇄 비용 절감 (Let 's Encrypt 사용 여부)
제어 자동화 암호화 증명이 조직의 규칙에 맞지 않을 수 있습니다. 예를 들어 Apache를 재구성 할 수 있지만 회사 도메인 이름에 대한 SSL 인증서를받지 않아야하는 직원이있는 경우 Let 's Encrypt는 적합하지 않습니다. 이 경우이를 사용하지 않는 것은 잘못된 것입니다. CAA를 사용하여 도메인에 대해 Let 's Encrypt를 명시 적으로 비활성화해야합니다.
암호화하자 정책이 귀하를 거부하는 경우, 유일한 "이의 제기 법원"은 공개 포럼에 요청하여 직원 중 한 명이 앞으로 나아갈 수있는 방법을 제공 할 수 있기를 바랍니다. 예를 들어, 사이트에 시스템이 큰 은행이나 Google과 같은 특정 유명 자산과 "혼란스럽게 유사하다고 판단한"DNS 이름이있는 경우 이러한 상황이 발생할 수 있습니다. 합리적인 이유 때문에 이와 관련하여 각 공공 CA의 정확한 정책은 공개 조사 대상이 아니므로 요청시 "암호화 인증서"를 가지고 "정책 금지 ..."응답을받을 수 없다는 사실 만 알 수 있습니다.
2. Let 's Encrypt 인증서 자체의 단점
Let 's Encrypt 인증서는 ISRG (Let 's Encrypt 서비스를 제공하는 자선 단체)를 통해 오늘날 주요 웹 브라우저에서 신뢰하지만, 구형 시스템은 "DST Root CA X3"를 제어하는 비교적 모호한 인증 기관인 IdenTrust를 통해 Let 's Encrypt를 신뢰합니다. 이것은 대부분의 사람들에게 일을 해주지 만 세계에서 가장 널리 알려진 루트는 아닙니다. 예를 들어, 버려진 Nintendo WiiU 콘솔에는 웹 브라우저가있었습니다. 분명히 Nintendo는 WiiU에 대한 업데이트를 제공하지 않을 것이므로 브라우저가 중단되므로 Let 's Encrypt를 신뢰하지 않습니다.
암호화하자 SSL / TLS 프로토콜을 사용하는 인터넷 이름을 가진 웹 PKI에 대한 인증서 만 발급합니다. 이것이 바로 웹이며, IMAP, SMTP, 일부 유형의 VPN 서버, 수십 가지이지만 모든 것이 아닙니다. 특히 Let 's Encrypt는 S / MIME (전송 중일 때가 아니라 대기중인 전자 메일을 암호화하는 방법) 또는 코드 서명 또는 문서 서명에 대한 인증서를 전혀 제공하지 않습니다. 인증서에 대해 "원 스톱 상점"을 원할 경우 Let 's Encrypt를 사용하지 않는 충분한 이유가있을 수 있습니다.
웹 PKI에서도 Let 's Encrypt는 "DV"인증서 만 제공하므로 FQDN 이외의 조직이나 조직에 대한 세부 정보는 인증서에 언급되어 있지 않습니다. CSR에 작성하더라도 폐기됩니다. 이것은 일부 전문 응용 프로그램의 차단 기능 일 수 있습니다.
자동화를 암호화 하자는 것은 다른 이유가 없는데도 자동화가 허용하는 것에 의해 정확하게 구속된다는 것을 의미합니다. Let 's Encrypt는 자체 타임 라인에서 새로운 유형의 공개 키, 새로운 X.509 확장 및 기타 추가 기능을 명시 적으로 활성화해야합니다.
그럼에도 불구하고, 거의 모든 사람에게 거의 항상 Let 's Encrypt는 TLS 서버에 인증서를 사용하여 잊어 버릴 수있는 최선의 선택입니다. Let 's Encrypt를 사용한다는 가정을 시작으로이 결정에 접근하는 것이 현명한 방법입니다.
당신에 대한 인증서가 필요하지 않는 웹이 아닌 다른 무언가를 , 아니이없는 진짜 단점, 그러나 확실하게 인식 것들. 문제는 단지 인식되지만 웹 사이트의 소유자는 다른 문제를 해결할 수밖에 없습니다 (비즈니스 관심사가 가운데 손가락 표시를 금지하는 경우).
가장 큰 단점은 당분간 사이트가 다른 사이트의 멋진 녹색 배지가 없기 때문에 사이트가 다소 열등하거나 위험 할 수 있다는 것입니다. 그 배지는 무엇을 의미합니까? 아무것도 아니에요 그러나 귀하의 사이트가 "안전"하다고 제안 합니다 (일부 브라우저는 정확한 단어를 사용하기도 함). 아아, 사용자는 사람이고 사람들은 바보입니다. 브라우저가 안전하다고 말하지 않기 때문에 사이트를 신뢰할 수없는 것으로 간주합니다 (어떤 의미도 이해하지 않음).
이러한 고객 / 방문자를 무시하는 것이 유효한 가능성이라면 아무런 문제가 없습니다. 그 사업을 감당할 수 없다면 돈 을 써야합니다. 다른 옵션은 없습니다.
인식되는 다른 문제는 인증서 수명에 관한 문제입니다. 그러나 실제로는 장점이 아니라 단점입니다. 유효 기간이 짧을수록 서버 측 및 클라이언트 측 모두에서 인증서를 더 자주 업데이트해야합니다.
서버 측에 관해서는,이은으로 발생하는 cron일, 그래서 사실이다 덜 번거 로움 과 더 안정적인 평소보다. 잊을 수있는 방법, 늦게 방법, 실수로 잘못한 방법, 관리자 계정으로 로그인 할 필요가 없습니다 (한 번 이상). 클라이언트 쪽에서는 무엇을해야합니다. 브라우저는 항상 인증서를 업데이트하지만 큰 문제는 아닙니다. 사용자는 그것이 일어나는 것을조차 알지 못합니다. 이 2 년마다 대신 3 개월마다 업데이트 할 때 가지게되는 아주 약간 더 많은 트래픽이, 그러나 심각하게 ... 그 문제가되지 않습니다.
web합니까? 자체 이메일 서버를 실행해야했기 때문에 letsencrypt 인증서가 충분하지
API 속도 제한이라는 고용주에게 Lets Encrypt에서 부분적으로 멀어지게 한 것을 추가하겠습니다. 수명이 짧고 와일드 카드 지원이 없기 때문에 일반적인 자동 작업 (자동 갱신 등) 중에 속도 제한에 매우 쉽게 도달 할 수 있습니다. 새 하위 도메인을 추가하려고하면 속도 제한을 초과 할 수 있으며 LE는 적중시 수동으로 제한을 무시할 방법이 없습니다. LE 인증서와 같은 자동화 된 클라우드 유형 마이크로 서비스 환경에서 누가 이전 인증서를 백업하지 않으면 LE가 인증서를 다시 발급하지 않으므로 영향을받는 모든 사이트가 오프라인 상태가됩니다.
우리가 무슨 일이 일어 났는지 깨달았을 때, "oh $ #! #"의 순간에 생산 사이트를 온라인으로 되돌리기위한 긴급 상용 인증서 요청이 이어졌습니다. 보다 합리적인 1 년 수명을 가진 사람. LE가 적절한 와일드 카드 지원을 구현할 때까지 (그리고 그 이후에도), 우리는 그들의 제품에 대해 매우 조심할 것입니다.
Tl; dr : LE 와일드 카드 + API 제한으로 인해 "내 개인 홈페이지"보다 복잡한 작업이 예기치 않게 어려워지고 그 과정에서 보안 관행이 열악합니다.
예.
무료 또는 SSL 인증서를 암호화하자 단점
호환성 문제 – 모든 플랫폼과 호환되지 않는 SSL 인증서를 암호화하겠습니다. 호환되지 않는 플랫폼 목록을 보려면 이 링크 를 참조하십시오.
덜 유효한 – SSL 인증서를 암호화하자 90 일로 제한된 유효성이 제공됩니다. 90 일마다 SSL 인증서를 갱신해야합니다. Comodo와 같은 유료 SSL은 2 년과 같은 긴 유효 기간이 있습니다.
비즈니스 유효성 검사 없음 – 무료 SSL 인증서는 도메인 유효성 검사 만 필요합니다. 법적 사업체의 사용자를 보장하기위한 비즈니스 또는 조직 검증이 없습니다.
소기업 또는 블로그 사이트에 적합 – 마지막 지점에서 추가 한대로 SSL 인증서를 무료 또는 암호화하자 도메인 소유권 확인을 통해 제공 될 수 있습니다. 도메인 소유권 확인은 신뢰와 보안이 비즈니스의 주요 요소 인 비즈니스 또는 전자 상거래 웹 사이트에는 적합하지 않습니다.
녹색 주소 표시 줄 없음 – 무료 SSL 인증서가있는 녹색 주소 표시 줄을 가질 수 없습니다. 브라우저에서 녹색 주소 표시 줄과 함께 업체 이름을 표시하는 유일한 방법은 확장 유효성 검사 SSL 인증서입니다.
지원하지 않음 – Let 's encrypt로 방해가되는 경우 온라인 채팅 또는 전화 지원을받을 수 있습니다. 문제를 해결하기 위해 포럼을 통해서만 연락 할 수 있습니다.
추가 보안 기능 – 무료 SSL 인증서는 무료 맬웨어 검사, 사이트 봉인 등과 같은 추가 기능을 제공하지 않습니다.
보증 없음 – 무료 또는 암호화 SSL 인증서는 보증 금액을 제공하지 않지만 유료 SSL 인증서는 $ 10,000 ~ $ 1,750,000의 보증을 제공합니다.
뉴스에 따르면 14,766 도메인 확인 만 필요하므로 PayPal 피싱 사이트에 발급 된 SSL 인증서를 암호화하자
따라서 권장 사항에 따라 SSL 인증서를 지불하는 것이 좋습니다.
일부 연구 결과, Let 's Encrypt 인증서가 유료 인증서보다 브라우저와 호환되지 않는다는 것을 알았습니다. (출처 : Let 's Encrypt vs. Comodo PositiveSSL )