Let's Encrypt-medeoprichter Peter Eckersley overleden op 43-jarige leeftijd

De Australische informaticus Peter Eckersley is vorige week overleden op 43-jarige leeftijd. Eckersley was één van de medeoprichters van Let's Encrypt, een certificaatautoriteit die gratis tls-certificaten uitgeeft. Daarnaast was hij werkzaam bij de Electronic Frontier Foundation.

Het overlijden van Eckersley kwam onverwacht, zegt Eva Galperin, directeur cyberbeveiliging bij EFF op Twitter. Naar verluidt was Eckersley kort voor zijn dood gediagnosticeerd met kanker en ging zijn toestand snel achteruit.

De Australische informaticus speelde een grote rol bij Let's Encrypt. Deze certificaatautoriteit geeft gratis tls-certificaten uit. Let's Encrypt heeft tot nu toe al meer dan 2,5 miljard certificaten uitgegeven. Het aantal https-websites is hierdoor enorm gegroeid.

Eckersley was tot 2018 werkzaam voor EFF, een Amerikaanse stichting die voor digitale rechten voor burgers strijdt. Hij werkte onder meer aan projecten zoals de browserextensies Privacy Badger en Https Everywhere. De laatste jaren richtte Eckersley zich op de impact van kunstmatige intelligentie en machine learning op de samenleving. Daarvoor richtte hij het AI Objectives Institute op.

Reacties (36)

We hebben zoveel aan hem te danken, niet alleen Lets Encrypt, maar ook de browserextensies zoals al genoemd in het artikel. Zonder LE betwijfel ik of de transitie naar SSL/TLS ooit zo snel zou hebben verlopen en/of certificaathouders nog altijd die (dure) macht zouden hebben - iets waarin ze toch niet zo goed in bleken te zijn.

EFF zet zich echt in voor een vrij en goed internet, ben benieuwd of ze kunnen door blijven gaan en hoe dit uitgaat zien.

RIP.

Blij dat ik gisteren (na een vergeefse submit eergisteren) op Twitter een shout-out gedaan heb richting tech journalisten.

Je hebt namelijk helemaal gelijk: Peter Eckersley was voor onschatbare waarde voor het promoten van veiligheid op internet.

Inmiddels is er een mooi artikel over Peter Eckersley op Wikipedia (dat nog steeds meerdere keren per dag wordt aangevuld).

Ook is de eerste memorial bijeenkomst gehouden en er is (was?) een livestream.

Daaruit, het Wikipedia lemma, de diverse in memoria en vele social media-berichten blijkt dat Peter misschien nog wel meer geliefd is om zijn compassie voor mensen dan de enorme berg werk die hij verzet heeft.

Hij had een "sharedhouse" waar onder meer ook Aaron Schartz gewoond heeft en was goed bekend met Dan Kiminsky. Het is bizar dat alle drie inmiddels overleden zijn.

Inmiddels werkte Peter al een paar jaar niet meer voor EFF, maar heeft wel een mooi team achtergelaten wat de kar goed trekt. Toch zal zijn invloed enorm gemist worden, want ook op afstand was hij altijd dichtbij, zie bijvoorbeeld dit mooie twitter draadje.

[Reactie gewijzigd door wiert.tweakers op 6 september 2022 16:45]

Zonder hem had mogelijks iemand anders een gelijkaardig initiatief opgezet net omdat er o.a. vanuit Google druk werd gezet om onversleutelde webservers meer en meer te gaan weren. Google heeft met SPDY een grote invloed gehad op HTTP/2 en heeft geprobeerd een verplichting voor encryptie er door te drukken, zelfs voor er spraken was van LE.

Ja, maar LE maakte het ineens poepeenvoudig om certificaten te krijgen. Geen CSR genereren en hoewel je geen wildcards aan kon maken, kon je wel gewoon makkelijk op SNI vertrouwen en een hele berg subdomeinen er in stoppen. Vóór LE waren er ook maar twee aanbieders van gratis certificaten, die geen van beide betrouwbaar waren (in de zin dat hun sites er om de haverklap uit lagen). Vernieuwen was ook veel eenvoudiger te automatiseren. En als kers op de taart was het een doorn in het oog van de SSL certificaat mafia.

Wildcards kan wel hoor met Let's Encrypt, alleen moet je dan wel tegen een API van je DNS provider kunnen kletsen. Kost ook wel even wat meer configuratiewerk dan de standaard handeling bij een certificaat op een subdomein.

Nu wel, toen niet. Wildcards zijn pas 3-4 jaar mogelijk (weet even niet meer precies welk jaar)

De meeste mensen gebruiken een portal zoals directadmin, let's encrypt is daar tegenwoordig standaard in geïntegreerd, je kunt zonder enige configuratie met 1 click een wildcard aanvragen.

Toch heeft @Blokker_1999 gelijk: Google kondigde destijds aan dat hun Chrome browser HTTP sites als niet betrouwbaar ging aanmerken. Dat gaf m.i. een flinke boost in de transitie naar HTTPS.

Beetje boel speculatie en je downplayed heel erg hoe prominent en belangrijk LetsEncrypt is.

Wat een zure reactie, zeg.

Geef die man ook wat credits. "als hij het niet had gedaan, had iemand anders het wel gedaan." die uitspraak kan je overal wel op loslaten. ten eerste omdat je het niet weet, je bent niet naar een alternatieve toekomst gereisd gok ik, om ff te verifiëren. zelf heb je het ook niet voor elkaar gekregen, en van alle opties die er waren zijn zij wel als een goede partijen naar voren gekomen waar veel mensen plezier van hebben gehad. ik heb het zelf nooit gebruikt, omdat alternatieven prima zijn. dus fanboi kan je mij niet noemen, maar dat afgunstige voor iemands succes is echt tenenkrommend.

Initiatief waar veel mensen (waaronder ik) toch heel dankbaar gebruik van maken. Het idee afkraken is in de IT ook wel heel normaal, want alleen "echte" certificaten waar je voor betaald zijn toch goed .

RIP en sterkte voor zijn familie / vrienden en bekenden

Het enige is de garantie op een (groen) slotje bij een betaald certificaat. Daarbuiten bleken ze er ontzettend een puinhoop van te maken.

Let wel dat dit alleen voor EV certificaten geldt en niet voor DV waar we het hier over hebben (los van dat zijn alle browsers hiervan terug gekomen en helpt het groene slotje & Co gewoon niet).

Helaas, sowieso veel te jong. Rip.

Ik vind het nog altijd spijtig dat browsers het zo moeilijk hebben gemaakt om de identiteit van een EV certificaat te zien.

Vele mensen vergeten dat je een certificaat voor 2 totaal verschillende dingen kunt gebruiken: beveiligen van communicatie tussen 2 partijen of het vaststellen van de identiteit. Met een DV certificaat, dat je inderdaad gewoon gratis kunt krijgen, heb je geen enkele zekerheid dat de tegenpartij is wie men beweerd te zijn. Dat heb je wel met een EV certificaat.

Helemaal met je eens. Het probleem ligt vnl bij de implementatie. Als bezoeker zou je dan kunnen kijken of de partij met wie je zaken wil doen/site bezoekt/etc ook is wie ze zeggen dat ze zijn. Alleen moet de bezoeker dat zelf vaststellen, en daar zit de crux. Het blijkt dat 9/10 mensen dat gewoon niet doen (o.a https://scotthelme.co.uk/...-paper-theyre-written-on/).
Los daarvan zie je dan de bedrijfsnaam wat ook niet altijd iets zegt of duidelijk is. Er zijn websites waarvan de bedrijfsnaam afwijkend is. De CA’s gaan daar ook verder niets aan doen, die stellen alleen vast zonder oordeel (ok dat gaat niet altijd helemaal niet ;-) )

Die subtiliteit tussen EV en DV is niet uit te leggen. Zelfs andere techneuten vind het soms lastig omdat ze effectief dezelfde techniek hanteren en alleen het validatieproces bij EV beter is (alhoewel ik voorbeelden ken waar de EV validatie ook nergens op sloeg, maar dat krijg je met mensenwerk).

Wat maakt mij het uit wie er achter een website zit (gechargeerd). Ik koop zoveel mogelijk via sites die zich enigszins bewezen hebben betrouwbaar te zijn. Dus als het DV certificaat geldig is en de dnsnaam ziet er valide uit vind ik dat check genoeg.

Dat er bij een EV certificaat een grotere zekerheid kan worden gegeven over wie het certificaat heeft verkregen is een pluspunt. Maar zegt natuurlijk niks over hoe goed een gebruiker let op hoe de url eruit ziet. Het houdt phishing enigszins tegen, mits het in een browser duidelijk zichtbaar wordt gemaakt.

Het maakt jou persoonlijk niet uit. Maar het is wel de manier om van schimmige Rabobank en Facebook klonen af te komen.

Zeker te vroeg gegaan. Zonde. Dankbaar voor zijn werk. En mogen anderen verder gaan. Rust in vrede inderdaad.

Welk groen slotje? Die bestaan al een paar jaar niet meer (zelfs niet met EV certs).

Nou bij deze wil ik u hartelijk bedanken voor uw inzet voor een veiliger internet. Ik maak er gretig gebruik van en dit soort nieuws doet me toch even landen dat we nietig zijn.

Bedankt voor je werk.

Jeeee, ook nog zo jong

RIP

Heel erg bedankt voor al uw werk.

Veelste vroeg gestorven, maar diep respect voor wat hij heeft gedaan en bereikt in die korte tijd.

RIP bedankt voor uw werk

Zoals voor onze voorouders, die vaak binnen de strijd naar vrijheid en privacy het leven lieten; mijn diepste respect Peter voor je Bijdragen.

Je gaf Rutger Bregman's 'De meeste mensen deugen' mee een gezicht binnen je eigen zijn. Waarvoor onvoorwaardelijke Dank.

RIP, veeeeeel te jong, maar bedankt voor alles.

Wat een rotziekte is het ook. Krijg je de diagnose met relatief goed nieuws, is het 2 dagen later alsnog gedaan. Bah. RIP! Zeer dankbaar voor alle bijdragen van deze man en zijn team aan online veiligheid en privacy.