Let’s Encrypt Melancarkan Sijil Alamat IP Dengan Tempoh Sah 6 Hari

Let’s Encrypt telah menjadikan sijil TLS berasaskan IP tersedia secara umum, membolehkan sambungan HTTPS yang selamat terus ke alamat IP.

Berita besar untuk semua peminat hosting sendiri. Pada pertengahan musim panas yang lalu, kami melaporkan bahawa Let’s Encrypt, sebuah pihak berkuasa sijil percuma, automatik, dan terbuka yang menyediakan sijil TLS/SSL untuk menyulitkan trafik internet, merancang untuk mengeluarkan sijil bukan sahaja untuk nama domain tetapi juga untuk alamat IP. Kini, ia telah menjadi kenyataan.

Sehingga kini, sijil TLS yang dipercayai secara umum hampir secara eksklusif dikaitkan dengan nama DNS, yang mengehadkan pelaksanaan selamat untuk infrastruktur yang beroperasi terutamanya dengan alamat IP mentah.

Mulai 15 Januari, Let’s Encrypt telah menjadikan sijil TLS alamat IP (baik IPv4 dan IPv6) serta sijil jangka pendek tersedia secara umum, menandakan pengembangan ketara dalam perkhidmatan pihak berkuasa sijilnya, membenarkan sambungan HTTPS tanpa bergantung pada nama domain.

Sijil alamat IP yang dikeluarkan oleh Let’s Encrypt adalah sijil jangka pendek yang wajib, sah selama 160 jam, atau lebih enam hari. Organisasi itu mengatakan bahawa pilihan reka bentuk ini mencerminkan sifat sementara alamat IP, yang boleh bertukar pemilik atau penugasan lebih kerap berbanding nama domain. Pengesahan yang lebih kerap mengurangkan risiko sijil yang dikeluarkan secara salah atau lapuk terus dipercayai.

Selain sijil alamat IP, Let’s Encrypt juga telah membuat sijil nama domain jangka pendek tersedia secara umum. Sijil ini adalah pilihan dan boleh diminta dengan memilih profil jangka pendek dalam klien ACME. Dengan mengurangkan tempoh sah sijil daripada 90 hari kepada 6 hari, kesan kunci yang dikompromi terhad secara reka bentuk dan bukan melalui pembatalan.

Untuk mendapatkan sijil alamat IP jangka pendek, gunakan klien ACME (seperti Certbot) yang menyokong profil sijil shortlived dan nyatakan alamat IP awam anda sebagai pengecam (dengan memastikan klien anda dikemas kini untuk ciri baru ini) dan menggunakan cabaran HTTP-01 atau TLS-ALPN-01 untuk pengesahan.

Secara berasingan, Let’s Encrypt menegaskan semula rancangan yang diumumkan sebelum ini untuk mengurangkan tempoh sah sijil lalai daripada 90 hari kepada 45 hari dalam beberapa tahun akan datang, meneruskan usaha jangka panjangnya ke arah model kepercayaan jangka pendek.

Akhirnya, saya ingin menambah bahawa sijil alamat IP adalah pemangkin perubahan untuk mereka yang menghos sendiri. Ia menghapuskan keperluan untuk mendaftar, mengurus, dan mengekalkan nama domain semata-mata untuk membolehkan HTTPS. Perkhidmatan boleh disulit terus melalui alamat IPv4 atau IPv6, yang sangat berguna untuk homelab, sistem ujian sementara, dan peranti yang terdedah ke internet hanya untuk tempoh yang singkat.

Untuk maklumat lanjut, rujuk pengumuman Let’s Encrypt.