[論文レビュー] No domain left behind: is Let's Encrypt democratizing encryption?

Maarten Aertsen, Maciej Korczyński+3 more|arXiv (Cornell University)|Dec 9, 2016

Internet Traffic Analysis and Secure E-voting参考文献 17被引用数 5

ひとこと要約

この論文は、Let's Encrypt (LE) がX.509証明書発行のコストと複雑さの障壁を低減することで、Web暗号化を成功裏に民主化したかどうかを調査する。初年度の証明書発行を分析した結果、Certificate Transparency (CT) ログを用いて、LEは急速にスケーリングしたことが示された。1200万枚の証明書が発行され、その98％がAlexa Top 1Mに含まれないドメイン向けであり、主に低コストの共有ホスティングを対象としており、25,000ドメインのサンプルにおいて63％が実際に有効に展開された。これは、Webの未開拓な分野に広範な影響を与えたことを示している。

ABSTRACT

The 2013 National Security Agency revelations of pervasive monitoring have lead to an "encryption rush" across the computer and Internet industry. To push back against massive surveillance and protect users privacy, vendors, hosting and cloud providers have widely deployed encryption on their hardware, communication links, and applications. As a consequence, the most of web traffic nowadays is encrypted. However, there is still a significant part of Internet traffic that is not encrypted. It has been argued that both costs and complexity associated with obtaining and deploying X.509 certificates are major barriers for widespread encryption, since these certificates are required to established encrypted connections. To address these issues, the Electronic Frontier Foundation, Mozilla Foundation, and the University of Michigan have set up Let's Encrypt (LE), a certificate authority that provides both free X.509 certificates and software that automates the deployment of these certificates. In this paper, we investigate if LE has been successful in democratizing encryption: we analyze certificate issuance in the first year of LE and show from various perspectives that LE adoption has an upward trend and it is in fact being successful in covering the lower-cost end of the hosting market.

研究の動機と目的

• X.509証明書発行におけるコストと複雑さの障壁を低減することで、Let's EncryptがWeb暗号化を成功裏に民主化したかどうかを評価すること。
• Let's Encryptが初年度に発行した証明書の人口統計的およびホスティング市場における分布を分析すること。
• 代表的なドメインのサンプルを対象にした積極的スキャンを通じて、Let's Encrypt証明書の実世界での展開効果を評価すること。
• Let's Encryptの採用を推進する主要なホスティングプロバイダーを同定し、そのスケーリングへの貢献を評価すること。
• Let's Encryptが発行した証明書の存続期間と更新行動を測定し、持続的な採用状況を評価すること。

提案手法

• Certificate Transparency (CT) ログから、Let's Encryptの1年間の証明書発行データを収集した。
• Alexa Top 1Mリストへの存在有無に基づいてドメインを分類し、市場セグメントカバレッジを評価した。
• ドメイン所有権およびホスティングインfra構造の分析を通じて、証明書発行をホスティングプロバイダーにマッピングした。
• 25,000ドメインのサンプルに対して、Let's Encrypt証明書が発行されたドメインを対象に、積極的なHTTPSスキャンを実施し、実世界での展開状況を測定した。
• DNSおよびTLSプローブを用いて、証明書がポート443で正しく設定され、利用可能かどうかを特定した。
• 応答しない、誤設定、または期限切れのドメインを除外することで、正しく展開された証明書の下限推定値を算出した。

実験結果

リサーチクエスチョン

• RQ1 Let's Encryptは、高トラフィックで高価値なWebセグメントから離れたドメインに、暗号化をどの程度広げたのか？
• RQ2 どのホスティングプロバイダーが、Let's Encrypt証明書の急速な採用を主に推進しているのか？
• RQ3 Let's Encrypt証明書の実際の成功展開率はどの程度か？
• RQ4 Let's Encrypt証明書の更新行動は、期待される水準と比較してどうなっているのか？これは、継続的な使用状況を示唆する。
• RQ5 新規ドメインと長年のドメインの両方が、Let's Encryptの無料証明書からどの程度恩恵を受けているのか？

主な発見

• Let's Encryptは初年度に1200万枚の証明書を発行し、世界で上位3位の規模の証明書機関となった。
• LEが発行した証明書の98％がAlexa Top 1Mに含まれないドメイン向けであり、これは低コストで目立たないWebホスティング市場への強い浸透を示している。
• LE証明書を保有するドメインの47％が、Automattic/wordpress.com、Shopify、OVHの3つのプロバイダーに所属しており、主要なホスティングプラットフォームが採用を拡大する上で果たす役割が明確になった。
• LE証明書の70％が初回の90日間の有効期限を過ぎても依然としてアクティブなままであり、更新が継続され、使用が持続していることを示している。
• 25,000ドメインのサンプルにおいて、63％がHTTPS経由で正しく展開され、利用可能であり、これは実際に展開された証明書の下限推定値を表している。
• LE証明書は、.nl TLDの新規および長年のドメインに対しても発行されており、ホスティングプロバイダーによる一括発行によって、古いドメインに対しても恩恵が及んでいることが示された。