Let’s Encrypt stellt über eine Milliarde Zertifikate aus

Das kostenlose HTTPS-Tool Let’s Encrypt hat gestern angekündigt, dass es das milliardste Zertifikat ausgestellt hat, was nach eigenen Angaben ein Meilenstein für die Privatsphäre und Sicherheit der Benutzer ist.

Die Initiative wird von der gemeinnützigen Internet Security Research Group (ISRG) unterstützt und hat guten Grund, solche Ansprüche zu erheben, da sie den einst komplexen und teuren Prozess der Registrierung und Verwaltung von TLS-Zertifikaten kostenlos und einfach gestaltet hat.

Let’s Encrypt stellt über eine Milliarde Zertifikate aus

In einem Blog-Post von Josh Aas, Geschäftsführer, und Sarah Gran, Vizepräsidentin der Kommunikationsbranche, enthüllten die beiden, wie die Zahl der HTTPS-Seitenaufrufe von 58% der weltweiten Gesamtzahl im Jahr 2017 auf 81% und in den USA sogar noch höher (91%) gestiegen ist.

„Wenn man Benutzerfreundlichkeit mit Anreizen kombiniert, dann kommt die Akzeptanz wirklich in Schwung. Seit 2017 verlangen die Browser mehr Funktionen über HTTPS und haben die Art und Weise, wie sie ihre Benutzer über die Risiken der Nichtnutzung von HTTPS informieren, stark verbessert“, erklärten sie.

„Wenn Websites ihre Nutzer durch die Nicht-Nutzung von HTTPS in Gefahr bringen, zeigen die großen Browser jetzt stärkere Warnungen an. Viele Websites haben darauf mit dem Einsatz von HTTPS reagiert“.

Es gibt jedoch noch eine andere Seite der kostenlosen Verschlüsselungsnachricht: Sie erleichtert es nicht nur legitimen Nutzern, die Sicherheit zu verbessern, sondern hat es Cyberkriminellen auch einfacher gemacht, ihre Aktivitäten online zu verbergen.

Im Jahr 2016 berichtete Trend Micro beispielsweise, dass Malvertiser Let’s Encrypt verwendeten, um bösartige Werbung vor Netzwerksicherheitstools zu verbergen.

Ein paar Jahre später wurde ein Fehler im ACME-Protokoll von Let’s Encrypt gefunden, der es Angreifern ermöglicht haben könnte, Zertifikate für Domains zu erhalten, die sie nicht besitzen.

Die Organisation hat jedoch auch ihre eigenen Sicherheits- und Authentifizierungsverfahren verbessert. Letzte Woche hat sie ein Multi-Perspektiven-Domain-Validierungssystem eingeführt, um sicherzustellen, dass Antragsteller von Zertifikaten die Kontrolle über die Domains haben, für die sie hoffen, ein Zertifikat zu registrieren.