Nieuws
image

Let's Encrypt stopt met versturen van e-mails over verlopen certificaten

woensdag 22 januari 2025, 16:22 door Redactie, 6 reacties

Certificaatautoriteit Let's Encrypt stopt vanaf 4 juni met het versturen van e-mails over certificaten die op het punt staan te verlopen. Partijen die toch gewaarschuwd willen worden krijgen het advies diensten van derden te gebruiken. Let's Encrypt biedt gratis tls-certificaten aan die worden gebruikt voor het versleutelen van de verbinding tussen websites en bezoekers en maken het mogelijk om websites te identificeren. De certificaten zijn negentig dagen gelden en moeten dan worden vernieuwd.

Gebruikers van Let's Encrypt kunnen zich aanmelden om door de certificaatautoriteit te worden gewaarschuwd als hun certificaat op het punt staat te verlopen. Let's Encrypt heeft nu besloten om hier over een aantal maanden mee te stoppen. Als reden wordt gegeven dat steeds meer gebruikers hun certificaten automatisch laten vervangen. Daarnaast beschikt Let's Encrypt nu over miljoenen e-mailadressen om organisaties te kunnen waarschuwen, iets waar het naar eigen zeggen wegens privacyredenen niet blij mee is.

Het versturen van de e-mails kost jaarlijks tienduizenden dollars die de certificaatautoriteit ook aan andere onderdelen van de infrastructuur kan uitgeven. Als laatste noemt Let's Encrypt dat het bieden van 'expiration notifications' complexiteit aan de infrastructuur toevoegt, wat tijd kost om te beheren en de kans op fouten vergroot. Voor organisaties die wel waarschuwingsmails willen blijven ontvangen wijst Let's Encrypt naar third-party diensten zoals Red Sift Certificates Lite.

Reacties (6)
Reageer met quote
Vandaag, 16:33 door Anoniem
Geweldig dus de waarschuwing dienst die dient voor administratie gaan ze weghalen. En wat als de automatische renew eens niet werkt? Een derde partij voor een basis functie als een mail? Lets Encrypt is goed bezig zichzelf uit de markt te prijzen. Ja de grotere jongens hebben eigen alert systemen maar particulieren en mkb zie ik echt niet actieve monitoring diensten afnemen nog beheren.
Reageer met quote
Vandaag, 16:59 door Anoniem
Persoonlijk geef ik ze groot gelijk.
Tegenwoordig gebruiken alle IT Partijen (zo niet zou het wel moeten) monitoring software om allerlei soorten triggers te volgen.
Certificaten zijn hier doorgaans makkelijk aan toe te voegen.

Plus als hun een mail versturen naar een (vaak het geval) algemene IT / Beheer mailbox verdwijnt het ergens in de troep en wordt het alsnog niet gelezen.
Kan het net zo goed niet verzonden worden, toch?
~FF
Reageer met quote
Vandaag, 17:07 door Anoniem
Je kan ook af en toe eens naar het slotje in the URL balk kijken als je je eigen website bezoekt...
Reageer met quote
Vandaag, 18:27 door Anoniem
Let's Encrypt wil niet elke 6 dagen een e-mail gaan versturen: https://www.security.nl/posting/872708/Let%27s+Encrypt+komt+eind+dit+jaar+met+tls-certificaten+die+zes+dagen+geldig+zijn (afgelopen donderdag).
Reageer met quote
Vandaag, 18:42 door Anoniem
Meestal kreeg ik een mail een of twee dagen voor de automatsche dagelijkse verlenging aan het werk ging.
Dus dat was iets te voorbarig.
Reageer met quote
Vandaag, 19:33 door Alexios - Bijgewerkt: Vandaag, 19:39
Door Anoniem: Geweldig dus de waarschuwing dienst die dient voor administratie gaan ze weghalen. En wat als de automatische renew eens niet werkt?.
Dan gaat er automatisch (via root) een foutmelding uit naar degene die het vernieuwen van de certificaten heeft ingericht. En als diegene niet geregeld heeft, dat de foutmelding bij iemand terecht komt die actie kan ondernemen, dan mag die nu dus aan de bak omdat alsnog in orde te brengen. Een eigen foutmelding kun je meteen te zien krijgen, een herinneringsmail van Let's Encrypt kan misschien weken later pas verstuurd worden wanneer de verloop datum dichterbij is met minder tijd om actie te ondernemen.
Door Anoniem: Een derde partij voor een basis functie als een mail? Lets Encrypt is goed bezig zichzelf uit de markt te prijzen. Ja de grotere jongens hebben eigen alert systemen maar particulieren en mkb zie ik echt niet actieve monitoring diensten afnemen nog beheren.
Het was optioneel om een e-mailadres op te geven, dus geen basis functie. En vermoedelijk is niet de moeite genomen om naar het oorspronkelijke bericht te kijken; want de derde partij kan gratis gebruikt worden, tot een aantal van 250 certificaten.

Wees blij dat er 'ns een partij is die minder data wil hebben, ik geef ze groot gelijk, opheffen is de beste stap hierbij.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Advertentie
Certified Secure