Разработчиците на проекта Chromium внесоха промяна, която определя максималния срок на валидност на TLS сертификатите на 398 дни (13 месеца).

Условието важи за всички публични сървърни сертификати, издадени след 1 септември 2020 г. Ако сертификатът не отговаря на това правило, браузерът ще го отхвърли като невалиден и ще даде конкретна грешка ERR_CERT_VALIDITY_TOO_LONG.

За сертификатите, издадени до 1 септември 2020 г., ще се запази доверието и ще бъде ограничено до 825 дни (2,2 години), както е днес.

По-рано ограничението на максималния срок на валидност на сертификатите беше въведено от разработчиците на браузерите Firefox и Safari. Промяната също влиза в сила от 1 септември.

Това означава, че уебсайтове, използващи SSL/TLS сертификати с дълъг срок на валидност, издадени след определената дата, ще показват грешки за конфиденциалност в браузерите.

Първата нова политика беше обявена от Apple на заседание на форума CA/Browser през февруари 2020 г.. Внедрявайки новото правило, Apple обеща да го приложи на всички устройства с iOS и macOS. Това ще постави натиск върху администраторите на уебсайтове и разработчиците да гарантират, че техните сертификати отговарят на изискванията.

Съкращаването на срока на валидност на сертификатите вече се обсъжда от Apple, Google и други участници в CA/Browser през последните месеци. Тази политика има своите предимства и недостатъци.

Целта на тази стъпка е да се повиши безопасността на уебсайта, като се уверим, че разработчиците използват сертификати с най-новите криптографски стандарти, и да се намали броят на старите, забравени сертификати, които потенциално могат да бъдат откраднати и повторно използвани за фишинг и злонамерени атаки. Ако злонамерените лица успеят да пробият криптографията на SSL/TLS стандарта, краткотрайните сертификати ще предоставят възможност за преминаване към по-безопасни сертификати благодарение на обновленията, приблизително след година.

Съкращаването на срока на валидност на сертификатите има и някои недостатъци. Обърнато е внимание, че, увеличавайки честотата на подмяна на сертификатите, Apple и другите компании малко усложняват живота на собствениците на сайтове и компаниите, които трябва да управляват сертификатите и спазването на изискванията.

От друга страна, Let’s Encrypt и други сертификатни центрове насърчават уеб администраторите да внедряват автоматизирани процедури за обновяване на сертификатите. Това намалява човешките разходи и риска от грешки, докато се увеличава честотата на подмяната на сертификатите.

Както е известно, Let’s Encrypt издава безплатни HTTPS сертификати, срокът на действие на които изтича след 90 дни, и предоставя инструменти за автоматизация на подновяването. Така че сега тези сертификати се вписват още по-добре в общата инфраструктура — тъй като браузерите установяват ограничение на максималния срок на действие.

Тази промяна беше предложена за гласуване от участниците в асоциацията CA/Browser Forum, но решението не беше одобрено заради несъгласието на удостоверяващите центрове..

Резултати

Гласуването на издателите на сертификати

За (11 гласа): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (бивш Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Против (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (бивша Trustwave)
Въздържали се (2): HARICA, TurkTrust