[논문 리뷰] No domain left behind: is Let's Encrypt democratizing encryption?

Maarten Aertsen, Maciej Korczyński외 3명|arXiv (Cornell University)|2016. 12. 09.

Internet Traffic Analysis and Secure E-voting참고 문헌 17인용 수 5

한 줄 요약

이 논문은 Let's Encrypt(LE)가 X.509 인증서 발급의 비용과 복잡성의 장벽을 낮춤으로써 웹 암호화를 성공적으로 민주화했는지 분석하기 위해 첫 해 동안의 인증서 발급을 조사한다. 인증서 투명성(Certificate Transparency) 로그를 사용하여, LE는 빠르게 확장되었으며, 1,200만 개의 인증서를 발급했으며, 그 중 98퍼센트는 Alexa Top 1M 외부 도메인을 대상으로 하였고, 주로 저비용 공유 호스팅을 중심으로 하였으며, 25,000개 도메인의 표본에서 63퍼센트가 활성 배포되었음을 보여주어, 웹의 소외된 분야에 광범위한 영향을 미쳤다.

ABSTRACT

The 2013 National Security Agency revelations of pervasive monitoring have lead to an "encryption rush" across the computer and Internet industry. To push back against massive surveillance and protect users privacy, vendors, hosting and cloud providers have widely deployed encryption on their hardware, communication links, and applications. As a consequence, the most of web traffic nowadays is encrypted. However, there is still a significant part of Internet traffic that is not encrypted. It has been argued that both costs and complexity associated with obtaining and deploying X.509 certificates are major barriers for widespread encryption, since these certificates are required to established encrypted connections. To address these issues, the Electronic Frontier Foundation, Mozilla Foundation, and the University of Michigan have set up Let's Encrypt (LE), a certificate authority that provides both free X.509 certificates and software that automates the deployment of these certificates. In this paper, we investigate if LE has been successful in democratizing encryption: we analyze certificate issuance in the first year of LE and show from various perspectives that LE adoption has an upward trend and it is in fact being successful in covering the lower-cost end of the hosting market.

연구 동기 및 목표

• X.509 인증서 발급의 비용과 복잡성 장벽을 줄임으로써 Let's Encrypt가 웹 암호화를 성공적으로 민주화했는지 평가하기 위해.
• 운영 첫 해 동안 Let's Encrypt가 발급한 인증서의 인구통계학적 및 호스팅 시장 분포를 분석하기 위해.
• 대표적인 도메인 샘플의 활성 스캔을 통해 Let's Encrypt 인증서의 실제 배포 효율성을 평가하기 위해.
• Let's Encrypt 채택을 이끄는 주요 호스팅 제공업체를 특정하고 그들이 암호화된 웹 트래픽을 확장하는 데 수행하는 역할을 평가하기 위해.
• Let's Encrypt가 발급한 인증서의 수명과 갱신 행동을 측정하여 지속적인 채택 여부를 평가하기 위해.

제안 방법

• Let's Encrypt의 인증서 발급 데이터를 1년간 인증서 투명성(CT) 로그에서 수집하였다.
• 시장 세그먼트 커버리지 평가를 위해 도메인을 Alexa Top 1M 목록에 포함 여부에 따라 분류하였다.
• 도메인 소유 및 호스팅 인프라 분석을 통해 인증서 발급을 호스팅 제공업체에 매핑하였다.
• 실제 배포를 측정하기 위해 Let's Encrypt 인증서가 발급된 25,000개 도메인의 표본에 대해 활성 HTTPS 스캔을 수행하였다.
• DNS 및 TLS 프로빙을 사용하여 인증서가 포트 443에서 정확하게 구성되고 접근 가능한지 확인하였다.
• 응답하지 않는, 잘못 구성된, 또는 기한이 만료된 도메인을 제외하여 정확한 배포에 대한 하한 추정치를 계산하였다.

실험 결과

연구 질문

• RQ1 Let's Encrypt는 웹의 고-traffic, 고가치 세그먼트 외부 도메인에 얼마나 넓게 암호화를 확장했는가?
• RQ2 어떤 호스팅 제공업체가 Let's Encrypt 인증서의 빠른 채택을 주로 이끌고 있는가?
• RQ3 Let's Encrypt 인증서의 실제 배포 성공률은 얼마인가?
• RQ4 Let's Encrypt 인증서의 갱신 행동은 기대 수준과 비교해 어떻게 되는가? 지속적인 사용 여부를 시사하는가?
• RQ5 신규 도메인과 오래된 도메인 모두가 Let's Encrypt의 무료 인증서로부터 얼마나 많은 이점을 얻고 있는가?

주요 결과

• Let's Encrypt는 첫 해 동안 1,200만 개의 인증서를 발급하여 세계에서 세 번째로 큰 인증기관이 되었다.
• LE가 발급한 인증서의 98퍼센트는 Alexa Top 1M 외부 도메인을 대상으로 하여, 저비용·저명도의 웹 호스팅 시장에 강력한 침투를 보였다.
• 모든 LE-인증 도메인의 47퍼센트는 단지 세 개의 제공업체—Automattic/wordpress.com, Shopify, OVH—에서 호스팅되며, 주요 호스팅 플랫폼이 채택을 확장하는 데 핵심적인 역할을 했다.
• LE-인증 도메인의 70퍼센트가 첫 번째 90일 기간 만료 후에도 활성 상태를 유지하여 갱신과 지속적인 사용이 강력하게 나타났다.
• 25,000개 도메인의 표본에서 63퍼센트가 HTTPS를 통해 정확하게 배포되고 접근 가능했으며, 이는 활성 배포의 하한 추정치를 나타낸다.
• LE 인증서는 .nl TLD의 신규 및 오래된 도메인 모두에 발급되었으며, 이는 심지어 오래된 도메인도 호스팅 제공업체의 대량 발급을 통해 이점을 얻고 있음을 보여준다.