Let's Encrypt：一场终结 HTTPS 复杂性的全民加密运动

本文介绍了 EFF 联合 Mozilla、Cisco 等机构于 2015 年推出的免费证书颁发机构 Let's Encrypt，旨在通过自动化证书签发将 HTTPS 部署时间从 1-3 小时缩短至 20-30 秒，彻底扫清全网加密的障碍。

背景：HTTP 的不安全与 HTTPS 的必要性

自 Web 诞生以来，HTTP 协议凭借其简单性获得了巨大成功，但它天生缺乏安全性。当你访问一个纯 HTTP 网站时，你始终暴露于多种风险之中：

• 账户劫持与身份盗窃：明文传输的 cookie 和密码可被中间人截获，导致账户被盗。
• 监控与追踪：无论是政府、企业还是两者合作，都能轻易对网络流量进行大规模监控。2013 年斯诺登披露的 PRISM 计划就是一个典型例证。
• 恶意脚本注入：网络服务商或攻击者可在传输的页面中注入恶意 JavaScript，用于挖矿、钓鱼或篡改内容。
• 针对关键词或页面的审查：审查系统通过检测明文 HTTP 请求中的特定字符串来实施过滤。

相比之下，HTTPS（即 HTTP over TLS/SSL）虽然并非十全十美，但能从根本上缓解上述问题。它通过加密保证数据的机密性和完整性，同时通过证书验证服务器身份，防止中间人攻击。因此，向 HTTPS 全面迁移成为 Web 发展的必然方向。

核心障碍：证书的复杂性、官僚流程与成本

尽管 HTTPS 的优势不言而喻，但推广的最大阻碍往往不是技术难度，而是证书颁发体系（CA）本身。传统模式下，网站所有者需要：

1. 选择一个证书颁发机构（如 Verisign、Comodo、GlobalSign 等）；
2. 填写冗长的申请表，经历人工审核；
3. 支付从几十美元到几百美元不等的年费；
4. 生成 CSR，配置服务器，安装证书，并处理中间证书链接；
5. 定期续期，一旦过期或配置错误，用户就会遭遇浏览器警告。

EFF 实测表明，一名 Web 开发者首次启用 HTTPS 通常需要 1-3 小时。这种高门槛导致大量中小型网站（尤其是个人博客、公益网站、小型企业站）长期停留在 HTTP。当用户访问这些网站时，只能看到浏览器地址栏中的“不安全”提示，或者干脆被网络钓鱼和劫持风险所困扰。

Let's Encrypt 的诞生：目标与合作伙伴

为了彻底解决这一问题，2014 年 11 月 18 日，EFF（电子前沿基金会）正式宣布启动 Let's Encrypt 计划。这是一个全新的证书颁发机构，由 EFF 联合以下机构共同发起：

• Mozilla（Firefox 背后的非营利组织）
• Cisco（网络设备巨头）
• Akamai（全球 CDN 服务商）
• IdenTrust（老牌 CA，负责交叉签名保证兼容性）
• 密歇根大学（Alex Halderman 带领的研究团队）

Let's Encrypt 的目标清晰而雄心勃勃：到 2015 年夏天正式上线时，任何网站都能免费、自动地获取并安装可信证书，整个过程只需一条命令或一次点击。 这意味着将设置时间从“小时级”降到“秒级”。

技术创新：ACME 协议与智能决策

Let's Encrypt 并非简单地将现有 CA 流程自动化，而是引入了一系列新技术：

1. ACME 协议

ACME（Automated Certificate Management Environment）是由 EFF 和 Mozilla 主导设计的开放的自动化管理协议。它定义了 Web 服务器与 CA 之间的交互方式，用于自动完成域名验证和证书签发。ACME 协议后来成为 IETF 的 RFC 8555 标准，是现代自动化证书管理的基石。

2. 更强壮的域名验证方法

传统 CA 验证域名所有权时，常常仅仅通过 HTTP 上的特定文件或邮件中的点击链接来确认。ACME 支持多种验证方式，包括基于 TLS 的 SNI 验证以及 HTTP-01、DNS-01 等。这些方法更加灵活且更难被伪造。

3. 利用全网证书数据集提升安全性

Let's Encrypt 在决定是否签发证书时，决策引擎会参考多个全球规模的证书数据集，以检测异常和滥用：

• EFF 的 Decentralized SSL Observatory：一个长期运行的主动互联网扫描项目，收集了全球 SSL 证书样本，用于研究证书生态系统的缺陷。
• 密歇根大学的 scans.io：对互联网进行全面扫描并提供公开数据的项目，帮助理解 HTTPS 部署的全局状况。
• Google 的 Certificate Transparency （CT）日志：证书透明化机制，确保每个 CA 签发的证书都被公开记录，从而能检测恶意或错误签发的证书。

借助这些数据，Let's Encrypt 可以在几十秒内完成对域名、证书链和潜在风险的智能分析，大幅度降低错误签发的概率。

运营主体：非营利 ISRG

Let's Encrypt CA 将由新成立的非营利组织 Internet Security Research Group（ISRG） 运营。ISRG 的使命是“减少互联网上的安全障碍”，其推动者包括 EFF、Mozilla、密歇根大学，以及 Cisco、Akamai、IdenTrust 等初期合作伙伴。作为一个非营利机构，ISRG 的资金来源会包括赞助、研究基金以及合作伙伴支持，从而确保证书的免费性质不会变质。

核心开发团队阵容如下（原文列举）：

• EFF：James Kasten、Seth Schoen、Peter Eckersley；
• Mozilla：Josh Aas、Richard Barnes、Kevin Dick、Eric Rescorla；
• 密歇根大学：Alex Halderman（实际为 J. Alex Halderman）与 James Kasten（同时效力于 EFF）。

深远影响与未来展望

Let's Encrypt 的推出被誉为“Web 安全民主化”的标志性事件。它带来了以下影响：

1. 大幅降低网站部署 HTTPS 的门槛：免费消除了经济负担，自动化消除了技术障碍，命令行的简化使得非专业开发者也能轻松启用。
2. 倒逼 CA 行业改革：传统 CA 不得不降低价格、改进服务，否则将失去市场份额。事实上，Let's Encrypt 后来占据了全球超过 50% 的证书份额。
3. 推动 HTTPS 成为默认：2015 年前后，Google、Facebook 等巨头开始强制推广 HTTPS；而 Let's Encrypt 的免费证书直接促进了 HTTP/2 和新的浏览器安全标准的普及。

当然，原项目也面临挑战，比如证书滥用（钓鱼网站也会获得证书）、吊销机制的缺陷、以及实际运维的负载压力，但这些都在后续演进中逐步得到了解决。

结语

Let's Encrypt 并非只是技术上的改进，它更像一场社会正义工程——让加密不再是大型公司的特权，而是每个普通网站的基本权利。正如 EFF 所述：“如果你使用技术，这场战斗就属于你。”

而后来的一切证明，这一个在 2014 年提出的愿景，最终实现了“加密整个互联网”的承诺，成为网络安全史上最成功的平民化运动之一。

---

原文链接：EFF: Launching in 2015: A Certificate Authority to Encrypt the Entire Web