Kolik stojí provoz certifikační autority Let's Encrypt? Josh Aas, ředitel organizace ISRG, která autoritu provozuje, zveřejnil výši výdajů plánovaných na příští rok. Chtěli bychom vysvětlit, kolik stojí Let's Encrypt. Usilujeme o co největší transparentnost a chceme, aby lidé přispívající na projekt znali všechny souvislosti. Navíc je to zajímavé.
Ze zveřejněných informací plyne, že provoz autority počítá pro rok 2017 s výdaji 2,91 milionů dolarů. Věříme že to je cena za bezpečnou a spolehlivou službu, která dokáže zdarma vystavovat certifikáty pro každý server na světě.
Výdaje vypadají takto:
| Výdaje | Částka |
|---|---|
| Zaměstnanci | 2,06 milionu dolarů |
| Hardware/software | 0,20 milionu dolarů |
| Hosting/audity | 0,30 milionu dolarů |
| Právníci/administrativa | 0,35 milionu dolarů |
| Celkem | 2,91 milionu dolarů |
Nejvíce peněz spolknou platy zaměstnanců, ostatní položky ale také nejsou zanedbatelné. V současné době máme osm zaměstnanců na plný úvazek a další dva pak zaměstnávají organizace Mozilla a EFF.
Celkem jde o pět adminů, tři programátory, jednoho člověka na komunikaci a získávání peněz a ředitele.
Jádrem skupiny jsou admini, kteří nepřetržitě dohlíží na infrastrukturu. Vývojáři mají na starosti především open-source implementaci autority zvanou Boulder. Musíme si psát vlastní software, abychom měli bezpečnou, spolehlivou a plně automatizovanou autoritu. Naši vlastní lidé mohou zapracovávat nové vlastnosti mnohem rychleji, než kdybychom byli závislí na implementaci někoho jiného.
Většinu administrativy okolo provozu pomáhá řešit Linux Foundation, takže ISRG hradí jen menší související výdaje.
Hardware obsahuje servery, storage, sítě a HSM, ve kterých jsou bezpečně uloženy privátní klíče. Kvůli redundanci je potřeba část zařízení držet duplicitně. Výdaje na software jsou velmi malé, protože iniciativa využívá především svobodný software.
Hosting zahrnuje platby za umístění zařízení ve dvou geograficky oddělených datacentrech. K tomu samozřejmě patří také napájení a konektivita. Hardware musí být schopen vydávat stovky milionů certifikátů. Potřebujeme tedy mít přímý fyzický přístup k veškerému hardware a infrastruktuře související s vystavováním a správou certifikátů. Zejména kvůli bezpečnosti a auditům.
Výdaje na audity zahrnují především požadované každoroční prověření WebTrust a odborné kontroly zajišťované dalšími organizacemi. Audity znamenají revizi kódu a infrastruktury, penetrační testy a analýzu protokolu ACME. Nejsme nikým nuceni dělat další audity nad rámec WebTrust, ale nedělat je by bylo od nás nezodpovědné.
Organizace potřebuje také zaplatit právníka, který se stará především o tvorbu firemních dokumentů, smluv a správu ochranných známek. Administrativa zahrnuje personální oddělení, zajištění výplat, účetnictví, správu daní, cestovní výdaje a další.
Výdaje pro rok 2016 vypadají velmi podobně jako ty plánované na příští rok. Hlavní rozdíl je zatím ve mzdách, na kterých byly vyplaceny 2 miliony dolarů. Zaměstnanci totiž přibývali postupně během letošního roku, takže náklady jsou nižší. Příští rok už ale bude potřeba je platit naplno všechny.
Většina příjmů pochází od sponzorů, mezi kterými je řada zvučných jmen jako Mozilla, Cisco, Facebook, OVH a další.
Certifikační autorita Let's Encrypt vydává důvěryhodné DV certifikáty zdarma, nedávno překročila pět milionů platných certifikátů. Česko je osmé mezi zeměmi, ze kterých se nejčastěji o certifikáty žádá.
