На 26 юли 2019 г. компанията Google предложи да се намали максималният срок на действие на сървърните сертификати SSL/TLS от сегашните 825 дни на 397 дни (около 13 месеца), тоест приблизително наполовина. Google смята, че само пълната автоматизация на действията с сертификатите ще позволи да се решат настоящите проблеми със сигурността, които често се обясняват с човешкия фактор. Затова в идеалния случай трябва да се стремим към автоматизирано издаване на сертификати с кратък срок на действие.

Въпросът беше поставен на гласуване в организацията CA/Browser Forum (CABF), която определя изискванията за SSL/TLS сертификати, включително максимален срок на действие.

И ето на 10 септември бяха обявени резултатите: членовете на консорциума гласуваха срещу предложения.

Резултати

Гласуване на издателите на сертификати

За (11 гласа): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (бивш Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com

Против (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (бивш Trustwave)

Въздържали се (2): HARICA, TurkTrust

Гласуване на потребителите на сертификати

За (7): Apple, Cisco, Google, Microsoft, Mozilla, Opera, 360

Против: 0

Въздържало се: 0

Според правилата на CA/Browser Forum, за да бъде прието положително решение, две трети от издателите на сертификати и 50% плюс един глас сред потребителите трябва да гласуват за него.

Представителите на Digicert поднесоха извинения за пропуснатото гласуване, където биха дали своето мнение в полза на съкращаването на срока на действие на сертификатите. Те отбелязват, че за някои клиенти съкращаването на срока на действие може да създаде проблем, но в дългосрочен план това носи предимства за сигурността.

Както и да е, индустрията все още не е готова напълно да намали сроковете на сертификатите и да премине на автоматизирани решения. Самите сертификационни центрове могат да предложат такива услуги, но много клиенти все още не са внедрили автоматизация. Затова съкращаването на сроковете до 397 дни все още се отлага. Но въпросът остава открит.

Сега Google може да опита да наложи стандарта "принудително", както беше с протокола Certificate Transparency. Още повече, че това се подкрепя и от други разработчици: Apple, Microsoft, Mozilla и Opera.

Припомняме, че пълната автоматизация е един от принципите, на които се основава работата на нестопанската сертификационна център Let’s Encrypt. Той издава безплатни сертификати на всички желаещи, но максималният срок на живот на сертификата е ограничен до 90 дни. Кратките срокове на живот на сертификатите имат две основни предимства:

1. ограничение на вреда от компрометирани ключове и неправилно издадени сертификати, тъй като те се използват за по-кратък период от време;
2. Краткоживеещите сертификати поддържат и насърчават автоматизацията, която е абсолютно необходима за улеснение на използването на HTTPS. Ако планираме да мигрираме цялата World Wide Web на HTTPS, никак не бива да очакваме ръчно обновление на сертификатите от администратора на всеки съществуващ сайт. След като издаването и обновленията на сертификатите станат напълно автоматизирани, по-кратките срокове на живот на сертификатите всъщност ще станат по-удобни и практични.

Анкетата на GlobalSign в Хабра показа, че 73,7% от респондентите "по-скоро подкрепят" съкращаването на срока на валидност на сертификатите.

Що се отнася до скриването на значка EV за SSL сертификатите в адресната лента, консорциумът не гласува по този въпрос, тъй като темата за интерфейса на браузерите е изцяло в компетенцията на разработчиците. През септември-октомври ще бъдат пуснати нови версии на Chrome 77 и Firefox 70, които ще отнемат на EV сертификатите специалното място в адресната лента на браузера. Ето как изглежда промяната на примера на десктоп версията на Firefox 70:

Беше:

Ще бъде:

Според специалиста по сигурността Трой Хант, премахването на информацията за EV от адресната лента на браузерите фактически погребва този тип сертификати.

Източник: habr.com