Let's Encrypt è un'autorità di certificazione e ha più o meno gli stessi privilegi e potere di qualsiasi altra autorità di certificazione esistente (e più grande) sul mercato.

Ad oggi, l'obiettivo principale svantaggio dell'utilizzo di un certificato Let's Encrypt è la compatibilità. Questo è un problema che deve affrontare qualsiasi nuova CA quando si avvicina al mercato.

Affinché un certificato sia attendibile, deve essere firmato da un certificato appartenente a una CA attendibile. Per essere attendibile, una CA deve disporre del certificato di firma in bundle nel browser / sistema operativo. Una CA che entra nel mercato oggi, supponendo che siano approvate al programma di certificazione radice di ciascun browser / OS dal giorno 0 (cosa impossibile), sarà inclusa nelle versioni correnti dei vari browser / OS. Tuttavia, non potranno essere inclusi nelle versioni precedenti (e già rilasciate).

In altre parole, se un CA Foo si unisce al programma root il giorno 0 quando la versione di Google Chrome è la 48 e Max OSX è 10.7, la Foo CA non sarà inclusa (e considerata attendibile) in nessuna versione di Chrome precedente alla 48 o Mac OSX precedente alla 10.7. Non puoi fidarti retroattivamente di una CA.

Per limitare il problema di compatibilità, Let's Encrypt ha ottenuto la firma incrociata del certificato radice da un'altra CA precedente (IdenTrust). Ciò significa che un client che non include il certificato radice LE può ancora eseguire il fallback su IdenTrust e il certificato sarà considerato attendibile ... in un mondo ideale. In effetti, sembra che ci siano vari casi in cui ciò non sta accadendo attualmente (Java, Windows XP, iTunes e altri ambienti). Pertanto, questo è il principale svantaggio dell'utilizzo di un certificato Let's Encrypt: una compatibilità ridotta rispetto ad altri concorrenti più vecchi.

Oltre alla compatibilità, altri possibili svantaggi sono essenzialmente legati alla politica di emissione di Let's Encrypt e alle loro decisioni aziendali. Come qualsiasi altro servizio, potrebbero non offrire alcune funzionalità di cui hai bisogno.

Ecco alcune differenze notevoli di Let's Encrypt rispetto ad altre CA ( ho anche scritto un articolo su di loro):

• LE attualmente non emette certificati con caratteri jolly (inizieranno a emettere certificati con caratteri jolly a gennaio 2018) LE ora emette certificati con caratteri jolly utilizzando il protocollo ACMEv2 aggiornato
• LE i certificati hanno una scadenza di 90 giorni
• LE emette solo certificati convalidati da dominio o DNS (non prevedono di emettere OV o EV, quindi convalidano solo la proprietà e non l'entità che richiede il certificato)
• Attuale molto restrittivo limitazione della velocità ^† (continueranno ad allentare il limite mentre si avvicinano al fine della beta)

I punti precedenti non sono necessariamente degli svantaggi. Tuttavia, sono decisioni aziendali che potrebbero non soddisfare i tuoi requisiti specifici e in tal caso rappresenteranno degli svantaggi rispetto ad altre alternative.

^† il limite di frequenza principale è 20 certificati per dominio registrato a settimana. Tuttavia, ciò non limita il numero di rinnovi che puoi emettere ogni settimana.

Il motivo per utilizzare Let's Encrypt può essere il prezzo. Quei certificati saranno gratuiti.

Ma vedo un possibile svantaggio per i siti web non piccoli. Le grandi CA offrono certificati jolly, certificati Extended Validation che presentano alcuni vantaggi (dal mio punto di vista). Inoltre questo programma è diretto ai server web, ma cosa succede se si dispone di un server di applicazioni o si desidera proteggere il server di posta

Aggiornamento : Attualmente è possibile richiedere un certificato, non vincolato a server web. Quindi il mio ultimo argomento non è più valido. ecco un esempio di utilizzo di questa opzione:

  ./letsencrypt-auto certonly --standalone -d example.com  

Update2 : da gennaio 2018 Let's Encrypt inizierà a rilasciare certificati con caratteri jolly

Certificati con caratteri jolly in arrivo a gennaio 2018

6 luglio 2017 • Josh Aas, direttore esecutivo dell'ISRG

Let's Encrypt inizierà a emettere certificati con caratteri jolly a gennaio 2018. I certificati con caratteri jolly sono una funzionalità comunemente richiesta e comprendiamo che ci sono alcuni casi d'uso in cui rendono più semplice la distribuzione di HTTPS. La nostra speranza è che l'offerta di caratteri jolly aiuti ad accelerare il progresso del Web verso il 100% HTTPS.

Quindi un altro argomento non è più valido.

Uno svantaggio che spinge le grandi aziende a non prendere in considerazione Let's Encrypt è che i visitatori che si collegano al sito non possono essere sicuri che sia la società effettiva che ospita il sito.

Questo perché Let's Encrypt ha problemi certificati gratuiti per un dominio senza convalida dell'identità (personale o aziendale) ( Let's Encrypt offre solo la convalida del dominio).

Modificato per aggiungere: Per lo scopo della trasmissione sicura non è un grosso problema. Tuttavia, se desideri verificare che sia l'azienda che stavi cercando a detenere il nome di dominio, una ricerca whois potrebbe non essere sufficiente. I certificati di classe 2 o 3 o EV hanno il vantaggio che l'azienda e il dominio vengono verificati dall'autorità di certificazione.

Un altro problema con l'utilizzo di Let'encrypt è che nello scenario aziendale è necessario installare il certificato anche sul bilanciatore del carico e sul provider CDN. Non tutti i provider CDN dispongono di API per modificare questa impostazione automaticamente. Inoltre, da ora in poi, la validità di Let's encrypt è di 90 giorni, il che complica ulteriormente questo processo.

Sì, utilizzando Let's Encrypt revochi il tuo diritto di difendere la tua proprietà intellettuale, inclusi brevetti, marchi, segreti commerciali o copyright contro la violazione da parte di ISRG.

https://letsencrypt.org/ documenti / LE-SA-v1.1.1-August-1-2016.pdf

IN MODO DI ULTERIORE SPIEGAZIONE RIGUARDO L'AMBITO DI ESCLUSIONE DI RESPONSABILITÀ E SENZA RINUNCIARE O LIMITARE QUANTO PRECEDENTE IN ALCUN MODO, ISRG NON ​​FORNISCE, E ISRG ESPRESSAMENTE DECLINA, QUALSIASI GARANZIA RIGUARDO AL DIRITTO DI UTILIZZARE QUALSIASI TECNOLOGIA, INVENZIONE, DESIGN TECNICO, PROCESSO O METODO COMMERCIALE UTILIZZATO NELL'EMISSIONE DI CERTIFICATI DI CRYPT O NELLA FORNITURA DI QUALSIASI SERVIZIO ISRG. L'UTENTE RINUNCIA AFFERMATIVAMENTE ED ESPRESSAMENTE AL DIRITTO DI RENDERE ISRG RESPONSABILE IN QUALSIASI MODO, O CHIEDERE INDENNIZZO CONTRO ISRG, PER QUALSIASI VIOLAZIONE DEI DIRITTI DI PROPRIETÀ INTELLETTUALE, COMPRESI BREVETTO, MARCHIO COMMERCIALE, SEGRETO COMMERCIALE O COPYRIGHT.

L'ultima frase.