Ein Vergleich von Let’s Encrypt, kommerziellen und privaten Zertifizierungsstellen und selbstsignierten SSL-Zertifikaten

Das Bestreben, immer mehr Web-Datenverkehr mit SSL-Verschlüsselung abzusichern, bedeutet, dass eine zunehmende Anzahl von Diensten und Anwendungsfällen eine Lösung für die Erlangung der richtigen Zertifikate benötigt. Unabhängig davon, ob es sich um eine öffentliche Website, einen Intranetverkehr oder einen Staging-Server für Ihre Web-App handelt, benötigen Sie ein Zertifikat, um Ihre Daten zu schützen und die modernen Sicherheitsanforderungen Ihrer Benutzer zu erfüllen.

Die Hauptvorteile von SSL-Verbindungen liegen beiprivacy unddata integrity. Verbindungen sind privat, da die Verschlüsselung das Abhören verhindert. Die Datenintegrität wird sichergestellt, indem Sie kryptografisch überprüfen, ob Sie eine Verbindung zum richtigen Server (und nicht zu einem Betrüger) herstellen, und indem Sie sicherstellen, dass einzelne Nachrichten während der Übertragung nicht manipuliert werden.

Es gibt verschiedene Möglichkeiten, wie Sie SSL-Zertifikate erhalten können. Abhängig von Ihrem Budget, Ihrer Zielgruppe und einigen anderen Faktoren können Sie zwischen einer kommerziellen Zertifizierungsstelle, einer neuen automatisierten und kostenlosen Zertifizierungsstelle, selbstsignierten Zertifikaten und Ihren Zertifikaten wählen eigene private Zertifizierungsstelle. Lassen Sie uns einen Vergleich dieser Optionen durchführen und diskutieren, wann es am besten ist, die einzelnen Optionen zu verwenden.

Bevor wir beginnen, definieren wir einige allgemeine Begriffe, die bei der Erörterung der SSL-Sicherheit verwendet werden:

Über kommerzielle Zertifizierungsstellen können Sie DV-, OV- und EV-Zertifikate erwerben. Einige bieten kostenlose domänenvalidierte Zertifikate mit bestimmten Einschränkungen an (z. B. keine Platzhalter).

Den meisten kommerziellen Zertifizierungsstellen wird in den meisten Browsern standardmäßig vertraut. Der zu erneuernde Vorgang erfolgt in der Regel manuell. Sie müssen daher das Ablaufdatum Ihrer Zertifikate notieren und sich daran erinnern, die Verlängerung rechtzeitig durchzuführen.

Kommerzielle Zertifizierungsstellen waren traditionell die einzige echte Option, um Zertifikate zu erhalten, denen die meisten gängigen Browser vertrauen. Dies hat sich mit neuen automatisierten Zertifizierungsstellen wie Let’s Encrypt geändert. Kommerzielle Zertifizierungsstellen sind jedoch die einzige Möglichkeit, ein EV-Zertifikat zu erhalten, und die einzige Möglichkeit, ein Platzhalterzertifikat zu erhalten, das von den meisten Browsern automatisch als vertrauenswürdig eingestuft wird. Sie sind auch eine gute Option, wenn Sie ein Zertifikat für ein Gerät benötigen, auf dem der automatisierte Let's Encrypt-Client nicht ausgeführt werden kann (aufgrund von Software-Inkompatibilität oder weil es sich möglicherweise um ein Embedded-Gerät mit geringem Stromverbrauch handelt).

Kommerzielle Zertifizierungsstellen bieten häufig die Möglichkeit, zusätzliche Supportverträge, Garantien und Zertifizierungen abzuschließen, was für einige Unternehmen und Branchen wichtig ist.

Let’s Encrypt bietet einen automatisierten Mechanismus zum Anfordern und Erneuern von Zertifikaten mit Domain-Validierung. Sie haben ein Standardprotokoll - ACME - für die Interaktion mit dem Dienst erstellt, um Zertifikate automatisch abzurufen und zu erneuern. Der offizielle ACME-Client heißtCertbot, obwohl es viele alternative Clients gibt.

Let’s Encrypt-Zertifikate sind kurzlebig, um die automatische Erneuerung zu fördern und die Zeit zu verkürzen, in der gefährdete Zertifikate von einem Angreifer missbraucht werden könnten.

Wenn Sie einen Server haben, auf den öffentlich zugegriffen werden kann und auf den ein gültiger Domänenname verweist, ist Let's Encrypt möglicherweise eine gute Option. Die Server von Encrypt müssen sich an Ihren Webserver wenden oder einen öffentlichen DNS-Eintrag abrufen, um zu überprüfen, ob Sie die Domäne steuern. Daher kann es etwas schwieriger sein, sie für einen privaten Server hinter einer Firewall in Ihrem lokalen Netzwerk zu verwenden. Es ist jedoch weiterhin möglich, die DNS-basierte Autorisierungsaufforderung von Let's Encrypt zu verwenden.

Let's Encrypt stellt keine Zertifikate für eine leere IP-Adresse bereit.

Wenn Sie ein EV-Zertifikat oder ein Platzhalterzertifikat benötigen, ist Let's Encrypt keine Option. Beachten Sie, dass Let’s Encrypt ein Zertifikat mit bis zu 100 Hostnamen erstellen kann. Daher benötigen Sie möglicherweise keinen Platzhalter für Ihren Anwendungsfall. Möglicherweise benötigen Sie nur ein Zertifikat, das alle Ihre vorhandenen Unterdomänen abdeckt.

Aufgrund von Ratenbeschränkungen in der Let’s Encrypt-API ist Let’s Encrypt möglicherweise nicht geeignet, wenn Sie über viele Subdomains oder dynamische Subdomains verfügen, die im laufenden Betrieb erstellt werden können.

Es ist möglich, ein SSL-Zertifikat zu verwenden, das mit seinem eigenen privaten Schlüssel signiert wurde, ohne dass eine Zertifizierungsstelle erforderlich ist. Dies wird als selbstsigniertes Zertifikat bezeichnet und häufig empfohlen, wenn Web-Apps zum Testen oder zur Verwendung durch eine begrenzte Anzahl technisch versierter Benutzer eingerichtet werden.

Selbstsignierte Zertifikate können mit dem Befehlopensslerstellt werden, der im Lieferumfang der OpenSSL-Bibliothek enthalten ist. Die genauen erforderlichen Befehle und weitere Hintergrundinformationen zu OpenSSL finden Sie in unserem TutorialOpenSSL Essentials: Working with SSL Certificates, Private Keys and CSRs.

Da ein selbstsigniertes Zertifikat nicht von einer vertrauenswürdigen Zertifizierungsstelle signiert ist, müssen Sie das Zertifikat manuell als vertrauenswürdig markieren. Dieser Vorgang ist in jedem Browser und Betriebssystem unterschiedlich. Danach verhält sich das Zertifikat wie ein normales CA-signiertes Zertifikat.

Selbstsignierte Zertifikate eignen sich für die einmalige Verwendung, wenn Sie das Vertrauen nur auf einigen wenigen Clients manuell verwalten müssen. Dabei spielt es keine Rolle, dass sie nicht ohne weiteren manuellen Aufwand widerrufen oder erneuert werden können. Dies ist häufig gut genug für Entwicklungs- und Testzwecke oder für selbst gehostete Web-Apps, die nur wenige Benutzer jemals verwenden werden.

Es ist möglich, eine eigene private Zertifizierungsstelle zu erstellen und zum Signieren von Zertifikaten zu verwenden. Ihre Benutzer müssen Ihre private Zertifizierungsstelle manuell installieren und als vertrauenswürdig einstufen, bevor ihre Zertifikate als vertrauenswürdig eingestuft werden.

Wie bei selbstsignierten Zertifikaten können Sie eine private Zertifizierungsstelle mithilfe der Befehlszeilentools erstellen, die mit der OpenSSL-Bibliothek geliefert werden. Es wurden jedoch einige alternative Schnittstellen entwickelt, um den Vorgang zu vereinfachen. tinyCA ist eine grafische Oberfläche für diesen Prozess undcaman ist ein Befehlszeilenprogramm. Beides erleichtert das Erstellen einer Zertifizierungsstelle und das Ausstellen, Erneuern und Widerrufen von Zertifikaten.

Eine private Zertifizierungsstelle ist eine gute Option, wenn Sie mehrere Zertifikate erstellen müssen und Ihre Zertifizierungsstelle manuell für Ihre Benutzer verteilen und installieren können. Dies beschränkt Sie wahrscheinlich auf die interne Verwendung innerhalb einer Organisation oder einer kleinen Gruppe technisch versierter Benutzer, die die Zertifizierungsstelle ordnungsgemäß installieren können. Größere IT-Abteilungen haben häufig die Möglichkeit, Zertifizierungsstellen automatisch für ihre Benutzer bereitzustellen, wodurch diese Lösung für sie attraktiver wird.

Im Gegensatz zu selbstsignierten Zertifikaten, bei denen jedes Zertifikat manuell als vertrauenswürdig markiert werden muss, muss die private Zertifizierungsstelle nur einmal installiert werden. Alle von dieser Zertifizierungsstelle ausgestellten Zertifikate erben dann diese Vertrauensstellung.

Ein Nachteil ist, dass der Betrieb der Zertifizierungsstelle mit einem gewissen Aufwand verbunden ist und einige Kenntnisse zur sicheren Einrichtung und Wartung erforderlich sind.

Wenn eine ordnungsgemäße Sperrung für Ihre Verwendung wichtig ist, müssen Sie auch einen HTTP-Server für die Zertifikatssperrliste oder einen OCSP-Responder verwalten.

Wir haben einige verschiedene Optionen zum Abrufen oder Erstellen von SSL-Zertifikaten geprüft. Welches für Ihre Situation am besten geeignet ist, wenn Sie den SSL-Schutz hinzufügen, schützt dies die Daten, den Datenschutz und die Sicherheit Ihres Dienstes und Ihrer Benutzer.

Wenn Sie sich eingehender mit SSL und den von uns diskutierten Optionen befassen möchten, können die folgenden Links hilfreich sein: