Was ist das ACME-Protokoll? Wie funktioniert das ACME-Protokoll?

ACME (Automated Certificate Management Environment) ist ein in RFC 8555 definiertes Protokoll, das die Domänenvalidierung und Zertifikatsausstellung automatisiert, sodass ein Server ohne menschliches Eingreifen ein vertrauenswürdiges Zertifikat erhalten und erneuern kann.

ACME automatisiert die Zertifikatsausstellung, indem ein Client die Kontrolle über eine Domain mittels einer HTTP- oder DNS-Challenge nachweist und anschließend eine Zertifikatsignierungsanforderung (CSR) einreicht, die von der Zertifizierungsstelle (CA) automatisch geprüft und signiert wird. ACME wurde ursprünglich von der Internet Security Research Group für Let's Encrypt entwickelt, ist mittlerweile in RFC 8555 standardisiert und wird von vielen CAs für alle von ihnen angebotenen Gültigkeitsdauern von Zertifikaten unterstützt, nicht nur für die ursprünglichen 90 Tage von Let's Encrypt.

Wichtige Erkenntnisse

• ACME wurde von ISRG für Let's Encrypt entwickelt und anschließend als RFC 8555 standardisiert. Die Internet Engineering Task Force formalisierte das Protokoll, sodass es von jeder Zertifizierungsstelle, nicht nur von Let's Encrypt, implementiert werden kann.
• Die Domainvalidierung erfolgt über HTTP- oder DNS-Abfragen. Der Client weist die Kontrolle über eine Domain nach, indem er eine von der Zertifizierungsstelle bereitgestellte Zeichenkette auf dem Server oder in einem DNS-Eintrag platziert, bevor die Zertifizierungsstelle ein Zertifikat ausstellt.
• ACME automatisiert den gesamten Lebenszyklus: Ausstellung, Verlängerung und Widerruf. Client-Tools wie Certbot erledigen alle drei Aktionen, ohne dass sich eine Person in ein CA-Portal einloggen muss.
• Die standardmäßige 90-Tage-Frist ist eine Richtlinienentscheidung von Let's Encrypt und keine Protokollbeschränkung. ACME selbst unterstützt jede Gültigkeitsdauer, die eine Zertifizierungsstelle anbietet, was von Bedeutung ist, da die Branche im Rahmen der CA/Browser Forum Ballot SC-081v3 in Richtung kürzerer Gültigkeitsdauern tendiert.
• ACME kann Zertifikate in rein internen Netzwerken nicht direkt validieren. Öffentliche Zertifizierungsstellen können für HTTP- oder DNS-Abfragen keine rein internen Systeme erreichen, daher benötigt die interne Nutzung von ACME einen Zertifikatsmanager, der diese Verbindungen lokal herstellen kann.

Wie ACME funktioniert, Schritt für Schritt

ACME automatisiert die gleichen Kernschritte, die auch bei einer manuellen Zertifikatsanforderung durchlaufen werden, nur eben ohne menschliches Eingreifen zu irgendeinem Zeitpunkt des Prozesses.

1. Kundenregistrierung. Der ACME-Client generiert ein Kontoschlüsselpaar und registriert sich beim ACME-Server der Zertifizierungsstelle.
2. Domänenautorisierung. Die Zertifizierungsstelle stellt eine HTTP-basierte oder DNS-basierte Herausforderung; der Client beweist die Kontrolle über die Domain, indem er diese erfüllt.
3. Auftragserstellung. Der Kunde erstellt eine Bestellung, in der er das benötigte Zertifikat angibt.
4. Einreichung und Ausstellung des CSR-Berichts. Der Client generiert einen CSR und übermittelt ihn; sobald die Zertifizierungsstelle bestätigt, dass sowohl der CSR als auch die Domänenautorisierung gültig sind, stellt sie das Zertifikat aus.
5. Installation. Der Client installiert das ausgestellte Zertifikat automatisch auf dem Server oder Gerät.
6. Verlängerung oder Widerruf. Wenn das Zertifikat abläuft, beantragt der Client über denselben automatisierten Prozess eine Verlängerung; für den Widerruf wird gegebenenfalls ein ähnlicher, signierter Antrag gestellt.

Das ACME-Protokollmodell

ACME läuft über HTTPS unter Verwendung von JSON Web Signature (JWS)-Objekten, die als REST-API zwischen Client und Zertifizierungsstelle strukturiert sind.

ACME-Clients werden durch ein Kontoschlüsselpaar repräsentiert: Der private Schlüssel signiert jede an den Server gesendete Nachricht, und der ACME-Server der Zertifizierungsstelle verwendet den zugehörigen öffentlichen Schlüssel, um die Authentizität und Integrität der Nachricht zu überprüfen. Dieses Muster signierter Anfragen deckt Registrierung, Domänenautorisierung, -ausstellung und -widerruf ab und bietet ACME somit ein einheitliches Sicherheitsmodell für alle durchgeführten Operationen.

Wo ACME gilt und wo nicht.

ACME eignet sich gut für öffentlich zugängliche Zertifikate, stößt aber bei internen Netzwerken und bei der Reaktion auf Sicherheitsvorfälle an seine Grenzen.

• Öffentliche Zertifizierungsstellen können keine Systeme erreichen, die ausschließlich intern sind. Externe ACME-Server können keine HTTP- oder DNS-Verbindungen zu Systemen innerhalb eines privaten Netzwerks herstellen, daher benötigen rein interne Zertifikate einen Zertifikatsmanager, der diese Prüfungen lokal durchführen kann.
• Kein eingebauter Auslöser für den Notfallaustausch. ACME verfügt über keinen primären Mechanismus, um bei Ereignissen wie der Kompromittierung einer Zertifizierungsstelle automatisch einen Zertifikatsaustausch auszulösen; dafür sind weiterhin separate Tools zur Reaktion auf Sicherheitsvorfälle erforderlich.
• Die breite Plattformunterstützung ist eine echte Stärke. Eine breite Palette von Zertifizierungsstellen, Zertifikatsmanagern und Clients auf TLS-Servern und Betriebssystemen unterstützt ACME, was für ein Zertifikatsprotokoll ungewöhnlich ist und einen echten Mehrwert für die Interoperabilität bietet.

Warum die 90-Tage-Standardfrist eine politische Entscheidung und keine Protokollgrenze ist

Die Verbindung von ACME mit den 90-Tage-Zertifikaten von Let's Encrypt führt zu einem häufigen Missverständnis darüber, was das Protokoll selbst erfordert.

Let's Encrypt wählte bei der Entwicklung von ACME eine Gültigkeitsdauer von 90 Tagen als eigene Ausstellungsrichtlinie, um sein Geschäftsmodell zu unterstützen. RFC 8555 legt jedoch keine spezifische Gültigkeitsdauer für ACME fest. Jede Zertifizierungsstelle, die ACME implementiert, kann Zertifikate für jede von ihr unterstützte Gültigkeitsdauer ausstellen. Genau deshalb ist ACME bestens gerüstet, um den Branchentrend hin zu deutlich kürzeren Gültigkeitsdauern – bis zu 47 Tagen bis 2029 gemäß CA/Browser Forum Ballot SC-081v3 – ohne Änderungen am zugrunde liegenden Protokoll zu bewältigen.

Wie Verschlüsselungsberatung hilft

CertSecure Manager unterstützt neben SCEP und EST auch die ACME-basierte Zertifikatsausstellung und automatisiert Zertifikatsanforderungen, Domänenvalidierung und -erneuerung in öffentlichen und internen Umgebungen, da die Gültigkeitsdauer von Zertifikaten immer kürzer wird. Die Software basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Wer hat das ACME-Protokoll entwickelt?

Die Internet Security Research Group (ISRG) entwickelte ACME ursprünglich für die automatisierte Zertifikatsausstellung von Let's Encrypt. Die Internet Engineering Task Force (IETF) standardisierte ACME später als RFC 8555, wodurch jede Zertifizierungsstelle, nicht nur Let's Encrypt, ACME implementieren kann.

Stellt ACME nur 90-Tage-Zertifikate aus?

Nein. Die standardmäßige Gültigkeitsdauer von 90 Tagen ist eine von Let's Encrypt für den eigenen Dienst getroffene Entscheidung und keine Einschränkung des ACME-Protokolls selbst. Jede Zertifizierungsstelle, die ACME implementiert, kann Zertifikate für jede von ihr unterstützte Gültigkeitsdauer ausstellen, einschließlich der kürzeren Gültigkeitsdauern, die die Branche im Rahmen der Abstimmung SC-081v3 des CA/Browser Forums anstrebt.

Kann ACME Zertifikate auch für Server ausstellen, die ausschließlich intern genutzt werden?

Eine direkte Ausstellung über eine öffentliche Zertifizierungsstelle ist nicht möglich, da externe ACME-Server keine HTTP- oder DNS-Verbindungen zu Systemen innerhalb eines privaten Netzwerks herstellen können, um die Domänenvalidierung abzuschließen. Für die interne ACME-basierte Ausstellung ist ein Zertifikatsmanager erforderlich, der diese Validierungsverbindungen lokal im Netzwerk herstellen kann.

Was passiert, wenn eine Zertifizierungsstelle während der Verwendung von ACME kompromittiert wird?

ACME verfügt über keinen integrierten Mechanismus zur automatischen Auslösung eines Zertifikatsaustauschs als Reaktion auf eine CA-Kompromittierung oder ein ähnliches Ereignis. Organisationen benötigen weiterhin separate Prozesse und Tools zur Reaktion auf Sicherheitsvorfälle, wie beispielsweise eine Zertifikatsverwaltungsplattform, um die Kompromittierung zu erkennen und eine schnelle Neuausstellung zu erzwingen.

Automatisieren Sie die Zertifikatsausstellung mit ACME

Automatisieren Sie Zertifikatslebenszyklen mit CertSecure Manager für ACME, SCEP und EST – für jeden Gültigkeitszeitraum, den Ihre Zertifizierungsstelle unterstützt.