Какво наистина стои зад зеления катинар?

Всеки път щом видиш онази малка иконка с катинарче в браузъра си, всъщност се доверяваш на една организация – не на технологията, а на конкретни хора и закони. За огромна част от интернет това означава: Let's Encrypt.

Когато сигурността стана безплатна

През 2014 г. Let's Encrypt направиха нещо, което изглеждаше невъзможно. Те дадоха HTTPS сертификати без пари и без ръчна намеса. Преди тях картината беше съвсем различна: скъпи такси, объркани процедури за потвърждаване на идентичност, ръчни подновявания на всеки няколко месеца. Малките разработчици и стартиращите компании буквално се отказваха от сигурна уеб връзка заради цената и сложността.

Това беше истинска промяна. Цялата индустрия се преобърна. Днес можеш да пуснеш защитен сайт за минути, без да дадеш и лев за сертификат. Не е преувеличение да кажем, че Let's Encrypt направиха HTTPS стандарт, а не лукс.

Проблемът с монопола

Сега обаче идва неприятната част. Данните показват, че Let's Encrypt издават над половината от всички уеб сертификати. Някои потребители дори报告ват, че в ежедневните им посещения почти всеки втори сайт разчита на техните сертификати.

Това е огромна концентрация. И тя стана още по-интересна след последната промяна в техните условия: сега те официално спазват американските санкции. Това означава, че хора, организации или дори цели държави под санкции на САЩ не могат да получат сертификат от Let's Encrypt. Те просто не могат да защитят сайтовете си с легитимна HTTPS връзка.

Защо трябва да те е грижа?

Може би си мислиш: "Аз не съм под санкции, значи не ме засяга." Логично е. Но нека помислим по-широко.

Когато една единствена организация, под юрисдикцията на една държава, контролира мнозинството от сигурността в мрежата, това е геополитическа уязвимост. Катинарчето в браузъра ти – онова малко нещо, което означава доверие и криптирана комуникация – всъщност зависи от външната политика на друга страна.

Това не е хипотетичен сценарий. Това се случва в момента.

За разработчиците, които строят продукти за глобална аудитория, това е двоен риск: технически и политически. Какво ще стане, ако изискванията за спазване на регулации се разширят? Какво ще стане, ако други държави започнат да налагат подобни ограничения? Ние всъщност поверяваме критична интернет инфраструктура на външнополитически решения.

Какво можем да направим?

Това не означава, че Let's Encrypt са лоши или че трябва да спрем да използваме HTTPS. Напротив – услугата им е страхотна и екипът им свърши невероятна работа.

Но информираността има значение. Разнообразието има значение. Екосистемата от сертифициращи органи се нуждае от конкуренция и географско разпределение на доверието. Cloudflare, Google Trust Services и регионални доставчици играят важна роля, но никой не е постигнал мащаба на Let's Encrypt.

Ако проектираш системи за глобална аудитория, помисли кой издава твоите сертификати. Документирай зависимостите си. Планирай резервен вариант. Катинарчето в браузъра изглежда като дреболия, но всъщност е изградено върху инфраструктура с реални политически последици.

Сигурността на мрежата не бива да зависи от една точка на контрол – дали е корпорация, държава или неправителствена организация. Като хора, които строят интернет, носим отговорност да мислим критично за тези зависимости. Дори когато са увити в удобната сигурност на зеленото катинарче.

Какво мислиш за централизацията на сертифициращите органи? Сподели мнението си с нас.