Let’s Encrypt & ACME

Entstehung und Beteiligte

Let’s Encrypt wurde 2012 von Mozilla-Mitarbeitern Josh Aas und Eric Rescorla zusammen mit Peter Eckersley von der Electronic Frontier Foundation initiiert. Die gemeinnützige Internet Security Research Group betreibt die Zertifizierungsstelle. Öffentlicher Betrieb begann 2015.

Welches Problem sollte gelöst werden?

TLS-Zertifikate waren kostenpflichtig, manuell zu beantragen und häufig falsch installiert. Diese Hürde verhinderte flächendeckendes HTTPS. Ziel war eine kostenlose, automatisierte und offene Zertifikatsausstellung.

Technische Hürden und Lösungen

ACME musste Domainkontrolle automatisch prüfen, Erneuerung ermöglichen und Missbrauch begrenzen. DNS-, HTTP- und TLS-Challenges decken verschiedene Szenarien ab. Kurze Zertifikatslaufzeiten erhöhen Sicherheit, verlangen aber zuverlässige Automatisierung.

Standardisierung und Einordnung

IT-Sicherheit ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Kryptografie, Identitäten, Protokollen, Segmentierung, Überwachung und menschlichem Verhalten. Viele Verfahren entstanden als Reaktion auf konkrete Missbräuche. Jede Schutztechnik besitzt Grenzen: Sie kann falsch konfiguriert, umgangen oder durch gestohlene Zugangsdaten entwertet werden. Historische Entwicklung erklärt deshalb, warum heutige Systeme mehrere Schutzschichten kombinieren.

Technik im praktischen Betrieb

Eine Schutztechnik ist erst wirksam, wenn Ereignisse ausgewertet, Ausnahmen begrenzt und Wiederherstellungswege getestet werden. Sicherheitsprodukte erzeugen sonst lediglich weitere Konfiguration. Besonders wichtig sind eindeutige Verantwortlichkeiten, ein aktuelles Inventar und Protokolle mit korrekter Zeit. Regeln sollten auf einem dokumentierten Datenfluss beruhen und regelmäßig auf veraltete Freigaben geprüft werden. Bei einem Vorfall müssen Zugangsdaten, Schlüssel, Sitzungen und betroffene Systeme als zusammenhängende Vertrauenskette betrachtet werden.

Warum das Thema heute noch relevant ist

Angriffe verändern sich, die Grundmuster bleiben: Identitäten werden getäuscht, Eingaben missbraucht, Vertrauen falsch vergeben und knappe Ressourcen überlastet. Historische Vorfälle sind deshalb mehr als Anekdoten; sie zeigen, welche Annahmen gescheitert sind. Gute Sicherheitsarchitektur baut nicht auf einem perfekten Filter auf, sondern auf begrenzten Rechten, überprüfbaren Protokollen, schneller Erkennung und der Fähigkeit, Systeme und Schlüssel nach einem Vorfall kontrolliert zu erneuern.

Daten und Meilensteine

• 2015 stellt Let’s Encrypt erste öffentliche Zertifikate aus.
• ACME wurde 2019 als RFC 8555 standardisiert.
• Zertifikate besitzen typischerweise 90 Tage Laufzeit.
• Let’s Encrypt prüft Domainkontrolle, nicht die geschäftliche Identität einer Organisation.

Domainkontrolle nachweisen

Bei HTTP-01 wird eine Prüfdatei über die Domain ausgeliefert. DNS-01 nutzt einen temporären TXT-Eintrag und ermöglicht auch Wildcard-Zertifikate. TLS-ALPN-01 führt die Prüfung direkt über TLS aus.

Automatische Erneuerung

ACME-Clients erneuern Zertifikate vor Ablauf und laden anschließend den betroffenen Dienst neu. Der Erneuerungsjob und sein Ergebnis müssen überwacht werden; Automatisierung ohne Alarmierung kann still ausfallen.

Grenzen eines Zertifikats

Ein gültiges Zertifikat bestätigt Domainkontrolle und verschlüsselt die Verbindung. Es sagt nichts darüber aus, ob die Anwendung sicher, vertrauenswürdig oder frei von Schadcode ist.