Let's Encrypt

何が Let's Encrypt なのか？​

Let's Encrypt は、Internet Security Research Group（ISRG）によって提供される無料、オープン、そして自動化された SSL/TLS 証明書発行機関（Certificate Authority, CA）で、2015 年 12 月に正式に公開ベータを開始し、急速に世界最大の証明書発行機関の一つに成長しました。

その主な目標は、ウェブサイトのセキュリティを向上させ、HTTPS 暗号化技術を普及させ、証明書管理の技術的およびコストの障壁を低くすることです。Let's Encrypt は Domain Validation（DV）タイプの SSL/TLS 証明書のみを提供し、ACME（Automatic Certificate Management Environment）プロトコルを使用して証明書の自動発行と更新を行います。これにより、ウェブサイトの管理者は手動で証明書の署名や更新を行うことなく、簡単に証明書を管理できます。

Let's Encrypt は Mozilla、Google、Cisco、Akamai、電子前哨基金会（EFF）などの多くのテクノロジー企業のサポートを受けており、HTTPS の普及に重要な役割を果たしています。

Let's Encrypt の特徴​

• 1. 無料

  従来の SSL/TLS 証明書は通常料金がかかり、証明書のタイプ（DV、OV、EV）や信頼レベルによって価格が異なります。Let's Encrypt は完全に無料で提供されており、企業、個人ウェブサイト、開発者がコストゼロで信頼された SSL/TLS 証明書を取得でき、HTTPS の導入のハードルを大幅に低くしています。

---

• 2. 自動化

  Let's Encrypt は ACME（Automatic Certificate Management Environment、自動証明書管理環境）プロトコルを使用して、証明書の申請、検証、発行、インストール、更新をすべて自動で行います。ACME クライアント（例えば、Certbot や acme.sh）を使用することで、ウェブサイトの管理者は手動で CSR（証明書署名要求）を提出したり、証明書発行機関（CA）とやり取りしたりする必要がなくなり、証明書管理のプロセスが大幅に簡素化されます。

---

• 3. オープンで透明性がある

  Let's Encrypt の運営メカニズムは完全にオープンで透明です：

  • オープンソース技術：Let's Encrypt のコアソフトウェア、ACME プロトコル、検証メカニズムなどはすべてオープンソースであり、誰でも監査および改善が可能です。
  • 公開記録：発行された証明書はすべて Certificate Transparency（CT）公開ログに記録され、監査可能であり、悪用や未承認の証明書の発行を防ぎます。

---

• 4. 幅広いサポートと互換性

  Let's Encrypt 証明書は、すべての主要なブラウザやオペレーティングシステムで信頼されています。具体的には：

  • デスクトップ：Chrome、Firefox、Safari、Microsoft Edge
  • モバイル：Android（7.1.1 以降）、iOS
  • サーバー/オペレーティングシステム：Linux（Ubuntu、Debian、CentOS、RHEL など）、Windows Server、macOS
  警告

  古いバージョンの Android（7.1.1 以下）は、Let's Encrypt のデフォルトのルート証明書 ISRG Root X1 を信頼しない可能性がありますが、「古いルート DST Root CA X3 の信頼」を有効にすることで互換性を維持できます。

---

• 5. 有効期限は 90 日

  Let's Encrypt 証明書の有効期限は 90 日です（従来の商業 CA 証明書は通常 1 ～ 2 年の有効期限）。この設計の利点には次のようなものがあります：

  • セキュリティの向上：証明書の秘密鍵が漏洩しても、短期間の有効期限によりリスクが低減されます。
  • 自動更新を促進：公式に自動更新メカニズム（例えば certbot renew や ACME クライアントのスケジューリング）の使用が推奨されており、手動更新のリスクを回避できます。
  • 現代的なベストプラクティスに適合：多くのブラウザやセキュリティ機関が証明書の有効期限を短縮するように推進しており、安全性と柔軟性を強化しています。

Let's Encrypt の動作方式​

Let's Encrypt は ACME（Automatic Certificate Management Environment、自動証明書管理環境）プロトコルを採用して、SSL/TLS 証明書の自動発行と更新を行います。これにより、ウェブサイト管理者は手動で介入することなく、HTTPS を簡単に導入することができます。

ACME の流れは以下の通りです：

1. ユーザーが ACME クライアント（例：Certbot、acme.sh、その他の ACME 互換ツール）をインストールします。
2. ACME クライアントが Let's Encrypt に証明書の申請を行い、特定のドメイン名（例：example.com）を暗号化するようにリクエストします。
3. Let's Encrypt がドメインの検証を行い、ユーザーがそのドメインを制御していることを確認します。検証方法には以下があります：
   • HTTP 検証（HTTP-01）：Let's Encrypt がランダムな検証ファイルを提供し、ACME クライアントがそのファイルをウェブサーバーの .well-known/acme-challenge/ ディレクトリに配置します。Let's Encrypt サーバーはそのファイルにアクセスして、ドメインの制御を確認します。
   • DNS 検証（DNS-01）：ワイルドカード証明書（Wildcard SSL）や HTTP 検証が使用できない場合に適用されます。ユーザーは DNS 記録に特定の TXT 記録を追加し、Let's Encrypt サーバーがその DNS 記録を照会して検証を行います。
   • TLS-ALPN 検証（TLS-ALPN-01）：HTTP サーバーを使用しない環境に適用されます。例えば、TLS サービスのみを提供するアプリケーションで使用されます。この方法では、サーバーの 443 番ポートに一時的な TLS 証明書を作成して検証を行います。
4. 検証が成功した後、Let's Encrypt は SSL/TLS 証明書を発行し、証明書は /etc/letsencrypt/live/yourdomain/ ディレクトリに保存されます（ACME クライアントによって異なります）。
5. ACME クライアントが自動的に更新を行います：通常、クライアントは 60 日ごとに証明書の更新が必要かどうかを自動的に確認し、証明書が期限切れにならないようにします（証明書の有効期限は 90 日間です）。

インストールと使用方法​

Let's Encrypt は複数の ACME クライアントをサポートしており、最も人気があるのは Certbot で、Electronic Frontier Foundation（EFF）によって開発されました。

• 1. Certbot のインストール

  Ubuntu/Debian の場合：

  sudo apt update
  sudo apt install certbot python3-certbot-nginx
  

  CentOS/RHEL の場合：

  sudo yum install certbot python3-certbot-nginx
  

• 2. SSL 証明書の申請

  サイトが Nginx サーバーで実行されていると仮定し、以下のコマンドで証明書を申請します：

  sudo certbot --nginx -d example.com -d www.example.com
  

  これにより、Nginx の設定が自動的に変更され、HTTPS が有効化されます。

• 3. 自動更新の設定

  Certbot はデフォルトで証明書の自動更新を行いますが、手動でテストすることをお勧めします：

  sudo certbot renew --dry-run
  

  問題がなければ、システムは定期的に自動更新を実行します。

デメリットも多い​

Let's Encrypt は無料で自動化された SSL 証明書を提供しますが、いくつかの制限もあります：

• 1. ドメイン検証（DV）証明書のみ提供

  Let's Encrypt は DV 証明書のみを提供します。つまり、OV（組織検証）や EV（拡張検証）証明書は提供しておらず、企業名を表示することはできません（銀行やオンラインショップ、大企業のサイトでは、信頼性を高めるために EV 証明書が必要な場合があります）。

  また、金融機関や政府機関など、高い信頼性を求められるビジネスサイトには適していません。これらの機関は通常、OV または EV 証明書を必要とし、その合法性を証明するためです。

---

• 2. 証明書の有効期限は 90 日間のみ

  伝統的な CA（証明書発行機関）が提供する 1 ～ 2 年の証明書に比べ、Let's Encrypt の証明書の有効期限は 90 日間のみです。自動更新機能がうまく機能しないと、サイトが正常に動作せず、ユーザーがアクセスできなくなる可能性があります。

---

• 3. IP アドレス用 SSL 証明書をサポートしない

  Let's Encrypt は IP アドレス用の SSL 証明書を提供しておらず、完全修飾ドメイン名（FQDN）に基づく証明書のみをサポートしています。

---

• 4. ACME クライアントとサーバー設定への依存

  Let's Encrypt は自動化をサポートしていますが、ユーザーは ACME クライアント（例：Certbot）をインストールし、設定する必要があります。これにより、Windows サーバーやカスタム Web サービスアーキテクチャでは技術的なハードルが上がる可能性があります。

---

• 5. 特定の状況では信頼度が低い

  Let's Encrypt の証明書は迅速かつ自動的に取得できるため、一部の悪意のあるサイトがこれを利用して HTTPS ロックマークを得ることがあります。これにより、ユーザーがそのサイトが安全であると誤認する可能性があります。しかし、フィッシングサイトや悪意のあるサイトでも Let's Encrypt を使用することができ、訪問者が警戒心を低くする原因となります。

---

• 6. 技術サポートが提供されない

  最後に、Let's Encrypt は専用のカスタマーサポートを提供していません。解決策は公式ドキュメントやコミュニティフォーラムで探すことになります。これにより、技術的に不慣れなユーザーには困難を伴う可能性があります。

---

Let's Encrypt は SSL/TLS 暗号化のハードルを下げ、HTTPS の普及を促進しましたが、すべてのサイトにとって最適な解決策ではないため、ユーザーは自分のニーズに合った SSL 証明書を選択するべきです。

結論​

Let's Encrypt は無料、自動化、オープンな方法で HTTPS を普及させ、インターネットセキュリティの発展を推進しています。個人のウェブサイト、ブログ、中小企業にとっては理想的な選択肢であり、SSL/TLS 暗号化の保護を簡単に手に入れることができます。

Let's Encrypt の特長と運用方法をおおまかに理解した後、次は Nginx の HTTPS 設定に進み、Let's Encrypt 証明書を使用してサイトのデータ通信を保護します。