[論文レビュー] Shedding Light on the Adoption of Let's Encrypt

Antonis Manousis, Roy Ragsdale+3 more|arXiv (Cornell University)|Nov 2, 2016

Advanced Malware Detection Techniques参考文献 8被引用数 15

ひとこと要約

この論文は、1800万件の証明書透明性（CT）ログと補足データソースを用いて、Let's Encrypt証明書の実世界における採用状況と使用状況を分析している。HTTPSへの採用を民主化している一方で、特に新興市場や人気のないドメインにおいて顕著であるが、発行された証明書のほぼ半数が未使用であり、誤字スラッティングやマルウェア配布のための乱用の兆候が増加していることが明らかになった。これは、セキュリティおよび設定の課題を浮き彫りにしている。

ABSTRACT

Let's Encrypt is a new entrant in the Certificate Authority ecosystem that offers free and automated certificate signing. It is visionary in its commitment to Certificate Transparency. In this paper, we shed light on the adoption patterns of Let's Encrypt "in the wild" and inform the future design and deployment of this exciting development in the security landscape. We analyze acquisition patterns of certificates as well as their usage and deployment trends in the real world. To this end, we analyze data from Certificate Transparency Logs containing records of more then 18 million certificates. We also leverage other sources like Censys, Alexa's historic records, Geolocation databases, and VirusTotal. We also perform active HTTPS measurements on the domains owning Let's Encrypt certificates. Our analysis of certificate acquisition shows that (1) the impact of Let's Encrypt is particularly visible in Western Europe; (2) Let's Encrypt has the potential to democratize HTTPS adoption in countries that are recent entrants to Internet adoption; (3) there is anecdotal evidence of popular domains quitting their previously untrustworthy or expensive CAs in order to transition to Let's Encrypt; and (4) there is a "heavy tailed" behavior where a small number of domains acquire a large number of certificates. With respect to usage, we find that: (1) only 54% of domains actually use the Let's Encrypt certificates they have procured; (2) there are many non-trivial incidents of server misconfigurations; and (3) there is early evidence of use of Let's Encrypt certificates for typosquatting and for malware-laden sites.

研究の動機と目的

• 実世界におけるLet's Encrypt証明書の取得に関する地理的・人口統計的・行動的パターンを理解すること。
• 発行にとどまらず、実際に導入・使用されているLet's Encrypt証明書の状況を評価すること。
• 無料かつ自動化された証明書発行によって生じる、設定ミス、非活動証明書、潜在的な乱用の原因を特定すること。
• Let's Encryptの今後の設計改善、Webサイト管理者、ブラウザベンダー、エンドユーザーに情報を提供すること。

提案手法

• 証明書透明性（CT）ログから1800万件の証明書記録を収集・分析し、Let's Encrypt証明書を使用するドメインを同定した。
• 外部データソースを用いて結果を裏付けた：Censys（証明書メタデータ）、Alexa（ドメインの人気度）、VirusTotal（マルウェア検出）、および地理位置データベース（国別属性付与）。
• Let's Encrypt証明書を有するドメインに対して、実際のHTTPS測定を実施し、実世界での導入状況を評価した。
• 時間経過に伴う証明書取得の傾向を追跡し、急増現象（flash crowds）や重尾分布の行動を特定した。
• 展開済み証明書における一般的なTLS設定ミスをチェックすることで、設定品質を評価した。
• ドメイン名のパターンとレピュテーションスコアに基づき、誤字スラッティングやマルウェア配布の可能性を特定するためのヒューリスティクスを用いた。

実験結果

リサーチクエスチョン

• RQ1 新興インターネット採用国における、Let's Encryptの採用状況は地理的にどのように分布しているか？
• RQ2 発行された証明書のうち、実際にプロダクション環境に導入・使用されている割合はどの程度か？
• RQ3 Webサイト全体にわたるLet's Encrypt証明書の導入において、顕著な設定ミスが見られるか？
• RQ4 誤字スラッティングやマルウェア配布といった悪意ある目的で、Let's Encryptがどの程度使われているか？
• RQ5 証明書取得の行動パターン（例えば、重尾分布や急増現象）はどのようなものか？

主な発見

• Let's EncryptはHTTPSの民主化に大きく貢献しており、アルゼンチン、ウクライナ、南アフリカなど、特に発展途上国において、世界平均比で5倍以上高い割合で採用されている。
• Let's Encrypt証明書を取得したドメインのうち、実際にプロダクション環境に導入しているのは54％にとどまり、広範な非活動状態や使用されていない状態が確認された。
• 展開済み証明書の多くに、重大な設定エラーが見られ、より良いツールキットとガイダンスの必要性が示された。
• 誤字スラッティングやマルウェアを含むサイトにLet's Encrypt証明書が使われているという、初期ではあるが増加傾向にある乱用の兆候が確認された。
• 少数のドメインが、証明書の大部分を占めており、これは重尾分布の取得パターンを示している。
• 活性測定は不可欠であり、証明書透明性ログだけでは、証明書が実際に使用されているか、正しく設定されているかを検証できない。