Let's Encrypt, le trublion du HTTPS

Présentation faite par Jérémy Leocur et Victor Laborie de chez Evolix, à l'occasion de la conférence VVT, le 23 juin 2017.

Transcript

1. LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LET'S ENCRYPT
   LE TRUBLION DU HTTPS
   Evolix – Jérémy Lecour & Victor Laborie – VVT 2017
   

   View Slide

2. HTTPS, TLS/SSL, CA
   C'EST QUOI CETTE JUNGLE ?
   

   View Slide

3. HTTP + CHIFFREMENT = HTTPS
   motivé surtout par le e-commerce
   émergence du marché des certificats
   adoption lente entre 90's et 2010
   

   View Slide

4. OBSTACLES À L'ADOPTION MASSIVE
   crypto-guerre
   coût CPU
   coût réseau
   technicité de mise en place
   frais d'acquisition des certificats
   

   View Slide

5. LA DONNE CHANGE
   Firesheep
   Snowden
   Google
   HTTP/2
   

   View Slide

6. COMMENT ÇA MARCHE ?
   les CA créent des clés et certificats racine
   … qui servent à signer les certificats des sites
   ils sont dans les navigateurs, OS, Java…
   ça forme un réseau de confiance en arbre
   

   View Slide

7. Créer un web plus sécurisé,
   respectueux de la vie privée.
   

   View Slide

8. PRINCIPES FONDAMENTAUX
   gratuit
   automatique
   sécurisé
   transparent
   ouvert
   collaboratif
   

   View Slide

9. D'OÙ ÇA VIENT
   2 projets fusionnés
   ISRG créé en 2014
   ouverture publique en novembre 2015
   

   View Slide

10. QUI FINANCE ET CONTRÔLE ?
    financé à 100% par les dons
    Mozilla, EFF, Akamai, Cisco, Google Chrome, OVH…
    Conseils d'administration et technique variés
    

    View Slide

11. COMMENT ENTRER DANS LA DANSE ?
    Ajout dans les "trust stores"
    signature croisée
    méfiance de l'industrie
    

    View Slide

12. UN PEU DE TECHNIQUE
    

    View Slide

13. LE PROTOCOLE : ACME
    échanges client/serveur REST + JSON
    conçu pour être un standard IETF
    

    View Slide

14. LE CLIENT : CERTBOT
    client de référence, écrit en Python
    disponible sur les OS courants
    implémente la totalité du protocole
    et plus : config du serveur web …
    

    View Slide

15. LE SERVEUR : BOULDER
    gère toute la partie CA, écrit en Go
    implémente la totalité du protocole
    

    View Slide

16. COMMENT OBTENIR UN CERTIFICAT ?
    demande de certificat par le client
    challenge(s) de vérification par le CA
    création du certificat
    renouvellement et révocation simplissimes
    environnements "staging" et "production"
    

    View Slide

17. CHALLENGES DE VÉRIFICATION
    ressource HTTP en clair
    signature dans un certificat TLS temporaire
    signature dans un enregistrement DNS
    

    View Slide

18. DURÉE DE VIE DE 90 JOURS
    limiter la casse
    favoriser l'automatisation
    

    View Slide

19. STATISTIQUES D'ADOPTION
    

    View Slide

20. LIMITATIONS
    Pas de wildcard
    pas de OV/EV
    pas de support garanti
    pas de signature de code, mail…
    

    View Slide

21. LET'S ENCRYPT CHEZ EVOLIX
    

    View Slide

22. ADOPTION PROGRESSIVE
    premier tests internes ; fin 2015
    prod interne ; début 2016
    clients pilotes ; été 2016
    prod clients (manuel) ; fin 2016
    début de généralisation aux outils ; courant 2017
    

    View Slide

23. CERTBOT, OU PAS
    certbot automatise tout
    scripts maison "make-csr" et "evoacme"
    certbot limité aux échanges avec la CA
    en cas de faille/bug de certbot, les clés sont protégées
    

    View Slide

24. LET'S ENCRYPT ET ANSIBLE
    un module officiel existe, en beta
    on a fait des rôles maison, avec evoacme
    mise en place idempotente non triviale
    on est encore au stade de test
    

    View Slide

25. MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    MERCI
    À VOS QUESTIONS
    

    View Slide