Let’s Encrypt lanceert IP-adrescertificaten met een looptijd van 6 dagen

Let’s Encrypt heeft IP-gebaseerde TLS-certificaten algemeen beschikbaar gemaakt, waardoor beveiligde HTTPS-verbindingen direct naar IP-adressen mogelijk zijn.

Groot nieuws voor alle zelf-hosting enthousiastelingen. Midden afgelopen zomer berichtten we dat Let’s Encrypt, een gratis, geautomatiseerde en open certificaatautoriteit die TLS/SSL-certificaten verstrekt om internetverkeer te versleutelen, van plan was om certificaten uit te geven niet alleen voor domeinnamen, maar ook voor IP-adressen. Nu is dat werkelijkheid geworden.

Tot nu toe zijn publiekelijk vertrouwde TLS-certificaten vrijwel uitsluitend gekoppeld aan DNS-namen, wat veilige implementaties beperkt voor infrastructuur die voornamelijk werkt op IP-adressen.

Vanaf 15 januari heeft Let’s Encrypt TLS-certificaten voor IP-adressen (zowel IPv4 als IPv6) en kortdurende certificaten algemeen beschikbaar gemaakt, wat een belangrijke uitbreiding van zijn certificaatautoriteitsdiensten markeert en HTTPS-verbindingen mogelijk maakt zonder afhankelijk te zijn van domeinnamen.

IP-adrescertificaten die door Let’s Encrypt worden uitgegeven, zijn verplichte kortdurende certificaten, geldig voor 160 uur, of iets meer dan zes dagen. De organisatie zegt dat deze ontwerpkeuze de tijdelijke aard van IP-adressen weerspiegelt, die vaker van eigenaar of toewijzing kunnen veranderen dan domeinnamen. Frequentere validatie vermindert het risico dat verkeerd uitgegeven of verouderde certificaten vertrouwd blijven.

Naast IP-adrescertificaten heeft Let’s Encrypt ook kortdurende domeinnaamcertificaten algemeen beschikbaar gesteld. Deze certificaten zijn optioneel en kunnen worden aangevraagd door het kortdurende profiel te selecteren in een ACME-client. Door de geldigheidsduur van certificaten te verkorten van 90 dagen tot 6 dagen, wordt de impact van een gecompromitteerde sleutel beperkt door ontwerp in plaats van via intrekking.

Om een kortdurend IP-adrescertificaat te krijgen, gebruik je een ACME-client (zoals Certbot) die het shortlived-certificaatprofiel ondersteunt en geef je je publieke IP-adres op als identificatie (zorg ervoor dat je client is bijgewerkt voor deze nieuwere functie) en gebruikt HTTP-01- of TLS-ALPN-01-uitdagingen voor validatie.

Los daarvan bevestigde Let’s Encrypt opnieuw zijn eerder aangekondigde plan om de standaardcertificaatsduur de komende jaren te verkorten van 90 dagen naar 45 dagen, terwijl het blijft streven naar langetermijnmodellen voor korter durend vertrouwen.

Tot slot wil ik nog toevoegen dat IP-adrescertificaten een revolutie betekenen voor zelf-hosters. Het maakt het registreren, beheren en onderhouden van domeinnamen overbodig alleen om HTTPS in te schakelen. Services kunnen direct beveiligd worden met een IPv4- of IPv6-adres, wat vooral handig is voor homelabs, tijdelijke testsystemen en apparaten die slechts kortstondig aan het internet worden blootgesteld.

Voor meer informatie, zie de aankondiging van Let’s Encrypt.