Comparaison des autorités de certification Let’s Encrypt, commerciales et privées et des certificats SSL auto-signés

L'impulsion pour obtenir de plus en plus de trafic Web sécurisé avec le cryptage SSL signifie qu'un nombre croissant de services et de cas d'utilisation ont besoin d'une solution pour obtenir les certificats appropriés. Qu'il s'agisse d'un site Web public, d'un trafic intranet ou d'un serveur de stockage intermédiaire pour votre application Web, vous aurez besoin d'un certificat pour protéger vos données et répondre aux attentes de sécurité de vos utilisateurs.

Les principaux avantages des connexions SSL tournent autour deprivacy etdata integrity. Les connexions sont privées car le cryptage empêche toute écoute indiscrète. L’intégrité des données est assurée en vérifiant de manière cryptographique que vous vous connectez au bon serveur (et non en imposteur) et en vérifiant que des messages individuels ne sont pas altérés en transit.

Vous pouvez obtenir des certificats SSL de différentes manières. En fonction de votre budget, de votre public cible et de quelques autres facteurs, vous pouvez choisir entre une autorité de certification commerciale, une nouvelle autorité de certification automatisée et gratuite, des certificats auto-signés et votre serveur. propre autorité de certification privée. Faisons une comparaison de ces options et discutons du meilleur moment pour les utiliser.

Avant de commencer, nous définirons quelques termes couramment utilisés lors de la discussion sur la sécurité SSL:

Les autorités de certification commerciales vous permettent d'acheter des certificats DV, OV et EV. Certains offrent des certificats gratuits de domaine validé avec certaines restrictions (pas de caractères génériques, par exemple).

La plupart des autorités de certification commerciales sont approuvées par défaut dans la plupart des navigateurs. Le processus de renouvellement est généralement manuel. Vous devez donc noter les dates d'expiration de vos certificats et vous rappeler de renouveler à temps.

Les autorités de certification commerciales ont traditionnellement été la seule option réelle pour obtenir des certificats approuvés par la plupart des principaux navigateurs. Cela a changé avec les nouvelles autorités de certification automatisées comme Let’s Encrypt. Néanmoins, les autorités de certification commerciales constituent le seul moyen d'obtenir un certificat EV, et le seul moyen d'obtenir un certificat générique qui est automatiquement approuvé par la plupart des navigateurs. C’est également une bonne option si vous avez besoin d’un certificat pour un périphérique qui ne peut pas exécuter le client Let’s Encrypt automatisé (en raison d’une incompatibilité logicielle, ou peut-être d’un périphérique intégré à faible consommation).

Les autorités de certification commerciales offrent souvent l'option de contrats de support, de garanties et de certification supplémentaires, ce qui est important pour certaines entreprises et certains secteurs.

Let’s Encrypt fournit un mécanisme automatisé pour demander et renouveler des certificats validés par un domaine gratuit. Ils ont créé un protocole standard - ACME - pour interagir avec le service afin de récupérer et de renouveler les certificats automatiquement. Le client ACME officiel est appeléCertbot, bien qu'il existe de nombreux clients alternatifs.

Les certificats de Let Encrypt sont de courte durée afin d’encourager le renouvellement automatique et de réduire le délai d’utilisation abusive des certificats compromis par un attaquant.

Si vous avez un serveur accessible publiquement et qu’un nom de domaine valide pointe vers lui, Let’s Encrypt pourrait être une bonne option. Les serveurs Encrypt doivent contacter votre serveur Web ou récupérer un enregistrement DNS public pour vérifier que vous contrôlez le domaine. Son utilisation pour un serveur privé derrière un pare-feu sur votre réseau local peut donc être un peu plus délicate. Il est toujours possible d’utiliser le défi d’autorisation basé sur le DNS de Let’s Encrypt.

Let’s Encrypt ne fournira pas de certificat pour une adresse IP nue.

Si vous avez besoin d’un certificat EV ou d’un certificat générique, Let’s Encrypt n’est pas une option. Notez que Let’s Encrypt peut créer un certificat contenant jusqu’à 100 noms d’hôte. Il est donc possible que vous n’ayez pas besoin d’un caractère générique pour votre cas d’utilisation. Vous aurez peut-être besoin d’un certificat couvrant tous vos sous-domaines existants.

Néanmoins, en raison des limites de taux définies dans l’API Let’s Encrypt, si vous avez beaucoup de sous-domaines ou des sous-domaines dynamiques pouvant être créés à la volée, Let’s Encrypt risque de ne pas convenir.

Il est possible d’utiliser un certificat SSL signé avec sa propre clé privée, en évitant de recourir à une autorité de certification. Ceci s'appelle un certificat auto-signé et est assez souvent suggéré lors de la configuration d'applications Web à des fins de test ou d'utilisation par un nombre limité d'utilisateurs férus de technologie.

Les certificats auto-signés peuvent être créés avec la commandeopenssl fournie avec la bibliothèque OpenSSL. Vous pouvez trouver les commandes exactes nécessaires, et plus d'informations sur OpenSSL, dans notre tutorielOpenSSL Essentials: Working with SSL Certificates, Private Keys and CSRs.

Étant donné qu’un certificat auto-signé n’est signé par aucune autorité de certification approuvée, vous devez marquer manuellement le certificat comme étant approuvé, processus différent de chaque navigateur et de chaque système d’exploitation. Par la suite, le certificat agira comme tout autre certificat normal signé par une autorité de certification.

Les certificats auto-signés sont parfaits pour une utilisation ponctuelle lorsque vous n’avez besoin que de gérer manuellement la confiance accordée à quelques clients, sans vous soucier du fait qu’elle ne peut être ni révoquée ni renouvelée sans davantage d’efforts manuels. Cela est souvent suffisant pour le développement et les tests, ou pour des applications Web auto-hébergées que seules quelques personnes pourront utiliser.

Il est possible de créer votre propre autorité de certification privée et de l’utiliser pour signer des certificats. Vos utilisateurs devront installer manuellement et faire confiance à votre autorité de certification privée avant que l'un de ses certificats ne soit approuvé.

Comme pour les certificats auto-signés, vous pouvez créer une autorité de certification privée à l'aide des outils de ligne de commande fournis avec la bibliothèque OpenSSL, mais certaines interfaces alternatives ont été développées pour faciliter le processus. tinyCA est une interface graphique pour ce processus etcaman est un programme en ligne de commande. Les deux facilitent la création d'une autorité de certification, puis émettent, renouvellent et révoquent des certificats.

Une autorité de certification privée est une bonne option si vous devez créer plusieurs certificats et pouvez distribuer et installer manuellement votre autorité de certification pour vos utilisateurs. Cela vous limite probablement à une utilisation interne au sein d'une organisation ou d'un petit groupe d'utilisateurs techniquement avertis pouvant installer correctement l'autorité de certification. Les grands départements informatiques ont souvent les moyens de déployer automatiquement les autorités de certification auprès de leurs utilisateurs, ce qui les rend plus attractifs.

Contrairement aux certificats auto-signés, où chaque certificat doit être marqué comme approuvé de manière manuelle, vous ne devez installer qu'une seule fois l'autorité de certification privée. Tous les certificats émis par cette autorité de certification hériteront de cette confiance.

L’un des inconvénients est que le fonctionnement de l’AC nécessite un peu de travail et qu’il faut un certain savoir-faire pour l’installer et le maintenir de manière sécurisée.

Si une révocation appropriée est importante pour votre utilisation, vous devez également gérer un serveur HTTP pour la liste de révocation de certificats ou un répondeur OCSP.

Nous avons examiné différentes options pour obtenir ou créer des certificats SSL. Selon la situation qui convient le mieux à votre situation, l’ajout de la protection SSL est utile pour la protection des données, la confidentialité et la sécurité de votre service et de vos utilisateurs.

Si vous souhaitez approfondir l'utilisation de SSL et des options dont nous avons discuté, les liens suivants peuvent être utiles: