Glossar · Zertifikate
ACME
ACME (Automated Certificate Management Environment) ist ein Protokoll, mit dem Server TLS-Zertifikate selbst beantragen und erneuern: Der Server weist nach, dass er eine Domain beherrscht, und die Ausstellungsstelle antwortet mit einem Zertifikat.
So funktioniert es
Ein Server, der ein Zertifikat braucht, meldet sich bei der Ausstellungsstelle mit einem Kontoschlüssel und bestellt es für einen Namen. Die Stelle fordert einen Nachweis, dass der Besteller den Namen beherrscht: die Challenge. Im Web verbreitet ist eine Datei unter einem festen Pfad, die die Stelle abruft; die DNS-Challenge setzt einen Eintrag in der Zone, den nur führen kann, wer die Zone führt. Ist der Nachweis erbracht, stellt die Stelle das Zertifikat aus und legt eine kurze Gültigkeit fest. Die Erneuerung läuft nach demselben Ablauf, unaufgefordert und lange vor dem Ablauf.
Verbreitet sind drei Nachweise: HTTP-01 legt eine Datei unter einen festen Pfad, die die Stelle über das Web abruft; DNS-01 setzt einen Eintrag in der Zone, den nur führen kann, wer die Zone führt; TLS-ALPN-01 antwortet auf der TLS-Ebene selbst. Jede Ausstellung landet in öffentlichen Transparenzprotokollen (Certificate Transparency), sodass jede Stelle nachprüfen kann, was für ihre Namen ausgestellt wurde. Die Gültigkeit bemisst sich in Wochen, nicht in Jahren, und die Fristen werden kürzer: Erneuerung ist kein Termin mehr, sondern ein Dauerlauf.
Warum es wichtig ist
Zertifikate sind Verfallsware. Kurze Gültigkeitszeiten gelten als gutes Verfahren, und Menschen sind das schwache Glied einer Frist: warten auf eine Mail, ein Klick im Portal, ein vergessener Termin. ACME nimmt die Frist aus der Hand des Menschen und mit ihr die häufigste Ursache für Ausfälle einer verschlüsselten Verbindung: das abgelaufene Zertifikat.
Wer Zertifikate von Hand verwaltet, verwaltet Ausfälle: Jede Frist ist eine Wette auf Erinnerung und Erreichbarkeit, und ein abgelaufenes Zertifikat sperrt Nutzer härter aus als die meisten Störungen. Automatisierung kehrt das um: Der Normalfall ist das frische Zertifikat. Dazu kommt die Nachvollziehbarkeit: Jede Ausstellung steht im Transparenzprotokoll, und ein unerwartetes Zertifikat für den eigenen Namen fällt auf, statt zu wirken.
Bei obhut
obhut bestellt Zertifikate über ACME und führt den Nachweis als DNS-Challenge gegen das eigene autoritative DNS. Die privaten Schlüssel werden ab der Ausstellung versiegelt und verlassen den Prozess nicht. Zertifikate und TLS-Proxy gehören zum Angebot.
Bestellung, Nachweis, Ausstellung und Erneuerung laufen ohne Handarbeit; der Edge bedient die Namen mit dem jeweils gültigen Zertifikat.