Algo que o serviço disse que poderia ser necessário em “alguns dos piores cenários”.

A atualização ocorre um ano após o Let's Encrypt ter sido comprometido por um bug de Autorização de Autoridade de Certificação (CAA) e forçado a revogar 3 milhões de certificados Transport Layer Security (TLS) em um único dia, 4 de março, potencialmente deixando os sites atrás deles inseguros ou indisponíveis.

Let's Encrypt, um serviço gratuito do Internet Security Research Group , garantiu cerca de 250 milhões de sites, em direção à sua meta de "100 por cento HTTPS", disse o relatório anual de 2020 do grupo.

Proteção contra violações

Josh Aas disse em um post recente sobre a atualização que o serviço automatizado emite cerca de 2 milhões de certificados todos os dias. Mas, no caso de uma violação em grande escala, pode ser necessário substituir todos de uma vez.

Aas explicou que o bug CAA de março passado afetou apenas 2,6% de todos os certificados ativos do Let's Encrypt e, embora seja prejudicial, poderia ter sido muito pior.

“E se esse bug tivesse afetado todos os nossos certificados?” Aas escreveu. “São mais de 150 milhões de certificados cobrindo mais de 240 milhões de domínios. E se também fosse um bug mais sério, exigindo que revogássemos e substituíssemos todos os certificados em 24 horas? Esse é o pior cenário para o qual precisamos estar preparados ”.

[Mergulhe fundo no mundo da tecnologia e cadastre-se no Avance Network a verdadeira comunidade criptografada]

A atualização em grande escala foi financiada por doações corporativas de empresas como Facebook, Amazon Web Services, Mozilla, GitHub, Red Hat e outras, explicou o grupo. O hardware foi cortesia da Cisco, Thales e Fortinet, eles acrescentaram.

Aas explicou que os esforços para melhorar o Let's Encrypt se concentraram em cinco áreas específicas: desempenho do banco de dados, velocidade da rede interna, desempenho do módulo de assinatura criptográfica (HSM) e largura de banda.

Vamos criptografar a RAM atualizada

O banco de dados, disse ele, está “no centro do serviço que oferecemos”. O banco de dados Let's Encrypt mantém registro de todos os certificados e contas e, explicou Aas, é “pesado para gravações com muitas leituras também”.

Os servidores anteriores do Let's Encrypt não poderiam ter lidado com uma reemissão massiva em um único dia, disse ele, então foram substituídos por servidores de banco de dados Dell de nova geração com "CPUs dual AMD EPYC 7542, 64 núcleos físicos no total", anúncio disse.

“Essas máquinas têm 2 TB de RAM mais rápida. CPUs muito mais rápidas e com o dobro de memória é ótimo, mas o realmente interessante sobre essas máquinas é que as CPUs EPYC fornecem 128 pistas PCIe4 cada ”, explicou Aas. “Isso significa que podemos incluir 24 drives NVME de 6,4 TB para um desempenho de E / S massivo. Não há RAID de hardware viável para NVME, então mudamos para ZFS para fornecer a proteção de dados de que precisamos. ”

Vamos criptografar agora em execução em rede de fibra 25G

A Let's Encrypt também atualizou sua infraestrutura de rede de cobre 1G.

“Originalmente, pensamos em atualizar para 10G, mas aprendemos que atualizar para fibra 25G não era muito mais caro, disse Aas. “A Cisco acabou doando generosamente a maioria dos switches e equipamentos de que precisávamos para essa atualização e, depois de substituir muitas placas de interface de rede de servidor, Let's Encrypt agora está sendo executado em uma rede de fibra 25G!”

Let's Encrypt obtém capacidade criptográfica de HSM  

Em um dia, o Let's Encrypt precisaria reemitir 200 milhões de certificados, ele exigiria que seu par de Módulos de Segurança de Hardware (HSMs) Luna em cada data center executasse pelo menos 600 milhões de operações de assinatura criptográfica em 24 horas - incluindo um protocolo de status de certificado online (OSCP) resposta para revogação de assinatura; uma assinatura de certificado para substituições; e uma assinatura de resposta para a substituição - para cada certificado.

Aas disse que os HSMs anteriores que o Let's Encrypt estava usando só podiam lidar com cerca de 190 milhões de assinaturas em 24 horas, no máximo.

“Isso não é suficiente”, escreveu ele. A Thales doou novos HSMs, dando à Let's Encrypt a capacidade de processar 864 milhões de operações de assinatura por dia, apenas a partir de um data center.

Vamos criptografar para aumentar a largura de banda, API

A CA também aumentou sua largura de banda para aumentar sua capacidade de sincronizar e analisar seus bancos de dados em data centers e na nuvem, de acordo com o anúncio. Ele também aprimorou sua notificação para renovação antecipada com uma extensão de API.

O Let's Encrypt usa o protocolo ACME para verificar se os usuários controlam um determinado nome de domínio e para emitir um certificado para eles. Para obter um certificado Let's Encrypt, os usuários precisam escolher um software cliente de terceiros para usar.

“Para que todos esses certificados sejam substituídos, precisamos de uma maneira eficiente e automatizada de notificar os clientes ACME de que eles devem realizar a renovação antecipada”, escreveu Aas do Let's Encrypt. “Normalmente os clientes ACME renovam seus certificados quando resta um terço de sua vida útil e não entram em contato com nossos servidores de outra forma. Nós publicou um projecto de extensão para ACME no ano passado que descreve uma maneira para os clientes a servidores ACME regularmente sondagem para saber mais sobre eventos early-renovação. Pretendemos aperfeiçoar esse rascunho, implementar e colaborar com clientes e grandes integradores para implementá-lo no lado do cliente.”

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.