Allgemein

Let’s Encrypt ist eine Zertifizierungsstelle, die Ende 2015 in Betrieb gegangen ist und kostenlose X.509-Zertifikate für Transport Layer Security (TLS) anbietet.
Die Zertifikate haben eine Gültigkeit von jeweils 90 Tagen und können manuell oder automatisch erneuert werden.
Dabei ersetzt ein automatisierter Prozess die bisher gängigen komplexen händischen Vorgänge
Dies umfasst die Erstellung, Validierung, Signierung, Einrichtung und Erneuerung von Zertifikaten für verschlüsselte Websites.

Protokoll

Zur Automatisierung der Zertifizierung nutzt Let’s Encrypt das Challenge-Response-Verfahren Automatic Certificate Management Environment (ACME).
Dabei werden verschiedene Anfragen entweder an Unterseiten am Webserver oder direkt DNS-Anfragen an die zu zertifizierende Domain gestellt.
Es gibt 2 Verfahren
- Es wird eine erstellter Token auf einer speziellen Unterseite am Web-Server abgelegt
- Es wird eine TXT erstellter Token auf Resource Record im DNS der betreffenden Domain öffentlich abgelegt
in beiden Fällen wird dieser Token von den Let’s-Encrypt-Servern in Folge abgefragt.
Anhand der Antwort mit den Token wird sichergestellt, dass der Antragsteller den Web-Server oder direkt den Nameserver und die damit verknüpfte Domain kontrolliert.