蘋果對iPhone的加密，WhatsApp端到端加密消息傳送的登臺亮相，在引無數隱私倡導者歡呼的同時，也激發了很多司法論戰。你方唱罷我登場，真叫個喧囂鬧騰。但有一個小小的非營利性項目，卻靜悄悄地提出了一個加密整個全球Web的計劃。而且，居然看起來還挺實用。
本周早些時候，位于舊金山的互聯網安全研究小組(ISRG)宣布：“我們加密吧( Let’s Encrypt )”計劃走出測試版，在幫助全球無數不安全HTTP站點轉向HTTPS上邁出重要一步，讓你的Web瀏覽不再被人窺視。若沒有HTTPS加密層，普通HTTP連接可被瀏覽器和站點之間的任何人竊聽，或許是同一個Wi-Fi網絡里的黑客，或許是你的互聯網服務提供商，或許是某個政府機構。自6個月前啟動以來，Let’s Encrypt計劃已經幫助380萬個網站遷移到了HTTPS加密連接，大幅減少了可被這些監聽者窺探的Web數據。
老實說，讓那么多信息完全透明地在網絡中穿梭是極不負責任的。任何人都有可能截下來看。這可不是人們在如此重要的網絡生活中應該遭受到的。我們希望在使用網絡時還擁有隱私，我們的目標是100%的加密。
Let’s Encrypt 試圖通過解決證書問題來使網站更容易從HTTP遷移到HTTPS。解決方式就是 Let’s Encrypt 自身作為數字證書認證機構，就像Comodo、賽門鐵克、Godaddy和Globalsign這些驗證運營有HTTPS站點的服務器是否屬實的機構一樣(如果直接把隱私數據發送給了假冒網站，再安全的Web連接也沒用)。
一旦通過驗證，這些機構就會為服務器頒發“數字證書”，用以保障站點和用戶瀏覽器之間的HTTPS加密。數字證書就是一份不能偽造的簽名，由你的瀏覽器進行加密驗證，讓你可以確定自己的通信只有指定的站點才能解密，冒充者無法窺探。
但是，與商業數字證書機構不同，Let’s Encrypt 是免費的——多虧有了思科、谷歌和阿卡邁等公司的贊助。全球任何地方都可以用，甚至古巴、伊朗之類其他主要證書機構不予支持的國家都可以使用。而且任何想轉到HTTPS的服務器，只需運行一小段代碼，便可以自動配置使用 Let’s Encrypt。簡直就是萬靈丹，降低了Web通信加密的門檻，將運營安全網站的成本直降為零。
所有這一切，引發了Web加密層的結構性轉變。 Let’s Encrypt 向380萬個網站頒發的180萬個數字證書讓它成為了全球第三大數字證書認證機構，僅位列Comodo和賽門鐵克之后。鑒于這其中85%的網站之前從未用過HTTPS，它根本就是網絡上幾乎所有加密站點的背后推手?；贛ozilla公司從火狐(Firefox)瀏覽器用戶收集到的數據，加密站點訪問率如今已占到了42%，而 Let’s Encrypt 啟動之前還只有38.5%。這一數字還在以每月近1%的速率增長。在Web界，這么快的改變可不常見，50%的占比指日可待。
我們加密吧
Let’s Encrypt 的免費和自動HTTPS配置特性，就是為了讓沒有技術專長或資源的個人也能輕松加密自己的站點而設計的。但其自動化特性也能幫助大公司讓大量客戶也體會到HTTPS的安全性。比如說，WordPress就在上周宣稱，其托管的全部定制URL站點將默認采用 Let’s Encrypt 的證書進行加密。而且，在未來幾個月里，這一自動化配置過程還將繼續升級。未來的版本中將包含一些更為細致更極客化的配置——比如確保證書向瀏覽器正確宣告過期時間，采用最安全的加密算法等。不僅僅是弄個證書裝上就行，還要處理好背后的設置，切實保護好HTTPS的安全。
Let’s Encrypt 的證書易于獲得和使用并非總是件好事。今年1月，安全公司趨勢科技便指出：該小組的數字證書，被用于加密某網站惡意廣告與網絡罪犯所控制的服務器之間的通信，這些網絡罪犯利用加密連接將銀行木馬安裝到網站訪問者的計算機系統里。畢竟， Let’s Encrypt 僅驗證下載內容來源網站(本案例中是一個站點的某個元素)是被服務器加密了的。與某些商業數字證書認證機構不同，它不對服務器背后的組織進行驗證，這個驗證過程更偏向人工也更耗時。
顯然，不是所有的 Let’s Encrypt 驗證站點都是無害的。壞人會不會用 Let’s Encrypt?答案當然是“會”。但壞人也會用服務器、互聯網服務提供商，也會用域名啊。HTTPS證書僅僅是他們計劃中的一部分，把這部分拿掉也阻止不了壞人的行動。
允許少量的Web加密的非法使用，是叫停大量網絡監視的小小代價——從星巴克WiFi網絡窺探者，到康卡斯特電信公司，到國家安全局，不請自來的偷窺狂還真是不少。對任何會監視自己國民和他國公民的國家而言，只要你將自己的信息擺那兒，大范圍的監視就很容易。而若HTTPS無處不在，監視的成本便會上升。再不會有免費的午餐。
京公網安備 11010502049343號