Let's Encrypt ist eine Zertifizierungsstelle, und sie haben mehr oder weniger die gleichen Berechtigungen und Befugnisse wie jede andere auf dem Markt vorhandene (und größere) Zertifizierungsstelle.

Ab heute ist das Hauptziel ein Nachteil Die Verwendung eines Let's Encrypt-Zertifikats ist kompatibel. Dies ist ein Problem, mit dem jede neue Zertifizierungsstelle konfrontiert ist, wenn sie sich dem Markt nähert.

Damit ein Zertifikat vertrauenswürdig ist, muss es von einem Zertifikat signiert sein, das zu einer vertrauenswürdigen Zertifizierungsstelle gehört. Um vertrauenswürdig zu sein, muss eine Zertifizierungsstelle das Signaturzertifikat im Browser / Betriebssystem gebündelt haben. Eine Zertifizierungsstelle, die heute auf den Markt kommt, sofern sie ab Tag 0 für das Stammzertifikatprogramm jedes Browsers / Betriebssystems zugelassen ist (was unmöglich ist), wird in die aktuellen Versionen der verschiedenen Browser / Betriebssysteme aufgenommen. Sie können jedoch nicht in ältere (und bereits veröffentlichte) Versionen aufgenommen werden.

Mit anderen Worten, wenn ein CA Foo am Tag 0 dem Root-Programm beitritt, wenn die Google Chrome-Version 48 und 48 ist Max OSX ist 10.7, die Foo-Zertifizierungsstelle ist in keiner Version von Chrome vor 48 oder Mac OSX vor 10.7 enthalten (und vertrauenswürdig). Sie können einer Zertifizierungsstelle nicht rückwirkend vertrauen.

Um das Kompatibilitätsproblem einzuschränken, wurde das Stammzertifikat von Let's Encrypt von einer anderen älteren Zertifizierungsstelle (IdenTrust) signiert. Dies bedeutet, dass ein Client, der kein LE-Stammzertifikat enthält, weiterhin auf IdenTrust zurückgreifen kann und dem Zertifikat in einer idealen Welt vertraut wird. Tatsächlich scheint es verschiedene Fälle zu geben, in denen dies derzeit nicht der Fall ist (Java, Windows XP, iTunes und andere Umgebungen). Daher ist dies der Hauptnachteil der Verwendung eines Let's Encrypt-Zertifikats: eine geringere Kompatibilität im Vergleich zu anderen älteren Wettbewerbern.

Neben der Kompatibilität hängen andere mögliche Nachteile im Wesentlichen mit der Ausstellungsrichtlinie von Let's Encrypt und ihren Geschäftsentscheidungen zusammen. Wie bei jedem anderen Dienst bieten sie möglicherweise einige der von Ihnen benötigten Funktionen nicht an.

Hier sind einige bemerkenswerte Unterschiede von Let's Encrypt im Vergleich zu anderen Zertifizierungsstellen ( Ich habe auch einen Artikel darüber geschrieben):

• LE wird derzeit nicht ausgegeben Platzhalterzertifikate (sie werden ab Januar 2018 Wildcard-Zertifikate ausstellen) del> LE stellt jetzt Platzhalterzertifikate unter Verwendung des aktualisierten ACMEv2-Protokolls aus

• LE Zertifikate haben einen Ablauf von 90 Tagen.
• LE stellt nur domänen- oder DNS-validierte Zertifikate aus (sie planen nicht, OV oder EV auszustellen, daher validieren sie nur den Besitz und nicht die Entität, die das Zertifikat anfordert)
• Aktuelle sehr restriktive del> Ratenbegrenzung ^{† sup> (sie werden die Grenze weiter lockern, während sie sich dem nähern Ende der Beta) del>}

Die obigen Punkte sind nicht unbedingt Nachteile. Es handelt sich jedoch um Geschäftsentscheidungen, die möglicherweise nicht Ihren spezifischen Anforderungen entsprechen. In diesem Fall stellen sie im Vergleich zu anderen Alternativen Nachteile dar.

^{† sup> Das Hauptratenlimit ist 20 Zertifikate pro registrierter Domain pro Woche. Dies beschränkt jedoch nicht die Anzahl der Verlängerungen, die Sie pro Woche durchführen können.}

Der Grund für die Verwendung von Let's Encrypt kann der Preis sein. Diese Zertifikate sind kostenlos.

Ich sehe jedoch einen möglichen Nachteil für nicht kleine Websites. Big CA bietet Wildcard-Zertifikate und Extended Validation-Zertifikate an, die (aus meiner Sicht) einige Vorteile haben. Darüber hinaus richtet sich dieses Programm an Webserver. Was ist jedoch, wenn Sie einen Anwendungsserver haben oder den Mailserver sichern möchten?

Update : Derzeit ist es möglich, ein Zertifikat anzufordern, das nicht an dieses gebunden ist Webserver. Mein letztes Argument ist also nicht mehr gültig. Hier ist ein Beispiel für die Verwendung dieser Option:

  ./letsencrypt-auto certonly --standalone -d example.com  

Update2 : Ab Januar 2018 werden Let's Encrypt Wildcard-Zertifikate ausstellen.

Wildcard-Zertifikate Ab Januar 2018

6. Juli 2017 • Josh Aas, ISRG-Geschäftsführer

Let's Encrypt wird im Januar 2018 mit der Ausstellung von Platzhalterzertifikaten beginnen. Platzhalterzertifikate sind eine häufig angeforderte Funktion, und wir wissen, dass es einige Anwendungsfälle gibt, in denen sie die HTTPS-Bereitstellung erleichtern. Wir hoffen, dass das Anbieten von Platzhaltern dazu beiträgt, den Fortschritt des Webs in Richtung 100% HTTPS zu beschleunigen.

Ein weiteres Argument ist also nicht mehr gültig.

Ein Nachteil, der große Unternehmen dazu veranlasst, Let's Encrypt nicht in Betracht zu ziehen, besteht darin, dass Besucher, die eine Verbindung zur Site herstellen, nicht sicher sein können, dass es sich um das tatsächliche Unternehmen handelt, das die Site hostet.

Dies liegt an Let's Encrypt-Problemen Zertifikate für eine Domain kostenlos ohne Identitätsprüfung (persönlich oder geschäftlich) ( Let's Encrypt bietet nur Domain-Validierung).

Bearbeitet, um Folgendes hinzuzufügen: Für Für die sichere Übertragung ist dies kein großes Problem. Wenn Sie jedoch überprüfen möchten, ob das tatsächlich gesuchte Unternehmen den Domainnamen enthält, reicht eine whois -Suche möglicherweise nicht aus. Zertifikate der Klassen 2 oder 3 oder EV haben den Vorteil, dass das Unternehmen und die Domäne von der Zertifizierungsstelle überprüft werden.

Ein weiteres Problem bei der Verwendung von Let'encrypt besteht darin, dass wir im Unternehmensszenario ein Zertifikat installieren müssen, um auch den Load Balancer und den CDN-Anbieter zu verwenden. Nicht alle CDN-Anbieter verfügen über APIs, um dies automatisch zu ändern. Ab sofort beträgt die Gültigkeit von Let's encrypt 90 Tage, was diesen Vorgang noch komplizierter macht.

Ja, mit Let's Encrypt widerrufen Sie Ihr Recht, Ihr geistiges Eigentum, einschließlich Patent, Marke, Geschäftsgeheimnis oder Urheberrecht, gegen Verstöße durch ISRG zu verteidigen.

https://letsencrypt.org/ Dokumente / LE-SA-v1.1.1-August-1-2016.pdf

WEITERE ERKLÄRUNG IN BEZUG AUF DEN GELTUNGSBEREICH DES HAFTUNGSAUSSCHLUSSES UND OHNE VERZICHT ODER EINSCHRÄNKUNG DES VORANGEGANGENEN ISRG ÜBERNIMMT KEINE GEWÄHRLEISTUNG IN BEZUG AUF IHR RECHT, TECHNOLOGIE, ERFINDUNG, TECHNISCHES DESIGN, VERFAHREN ODER GESCHÄFTSMETHODEN ZU VERWENDEN, DIE IN JEDER AUSGABE VON LET'S CERSCHREIBUNG EINGESETZT WERDEN. SIE BEKRÄFTIGEN UND AUSDRÜCKLICH AUF DAS RECHT, ISRG IN JEDER WEISE VERANTWORTLICH ZU HALTEN, ODER SUCHEN SIE EINE SCHADENSERKLÄRUNG GEGEN ISRG, UM VERLETZUNGEN VON GEISTIGEN EIGENTUMSRECHTEN, EINSCHLIESSLICH PATENT, TRADEMARR, >

Dieser letzte Satz.