Zertifikate von Let's Encrypt sind sicher

Wie die Initiative Let's Encrypt meldet, ist das eigene Root-Zertifikate nun von IdenTrust cross-signiert. Damit erkennen die gängigen Browser das Root-Zertifikat von Let's Encrypt und die von der Initiative herausgegebenen Zertifikate als sicher an. Vor etwa einem Jahr war Let's Encrypt mit dem Ziel gestartet, kostenlose Zertifikate für jede Website bereitzustellen. Gleichzeitig soll eine Infrastruktur aufgebaut werden, die eine sichere Verteilung und Updates der Zertifikate ermöglicht. Dies soll auf Basis eines offenen Standards geschehen, den die Initiative erarbeitet.

Es gibt bereits einen Entwurf unter dem Namen "ACME" (Automated Certificate Management Environment) mit einer Implementierung in Node.js. Ein Gegenstück zum Zertifikatsmanagement mit dem Apache-Webserver wurde als Prototyp in Python implementiert. Für einen Sicherheits-Audit des ACME-Protokoll hat Let's Encrypt die Experten der NCC Group hinzugezogen.

Mit dem Cross-Signieren der Root-Zertifikate ist die letzte Hürde für die Anerkennung der Zertifikate von Let's Encrypt genommen. Um diese Zertifikate für einen Webserver zu verwenden, müssen Admins die passende Intermediate-Zertifikate anbieten. Mit Hilfe des Let's-Encrypt-Clients soll das automatisch passieren. 

Hinter der Initiative steht die Internet Security Research Group ("ISRG"), der derzeit die Mozilla Foundation, Cisco, Akamai, die Electronic Frontier Foundation (EFF), die Firma Identrust und die Universität von Michigan angehören. Auch die Linux Foundation unterstützt die ISRG bei ihrem Vorhaben. 

Mitte November will Let's Encrypt den regulären Betrieb aufnehmen.