26 юли 2019 г. Google направи предложение намаляване на максималния период на валидност на SSL/TLS сървърните сертификати от сегашните 825 дни на 397 дни (около 13 месеца), тоест приблизително наполовина. Google вярва, че само пълната автоматизация на действията със сертификати ще се отърве от настоящите проблеми със сигурността, които често се приписват на човешкия фактор. Следователно в идеалния случай трябва да се стремим към автоматизирано издаване на краткотрайни сертификати.

Въпросът беше поставен на гласуване в CA/Browser Forum (CABF), който определя изискванията за SSL/TLS сертификати, включително максималния период на валидност.

И след това 10 септември обявени резултати: членовете на консорциума гласуваха против оферти.

резултати

Гласуване на издателя на сертификат

За (11 гласа): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (бивш Comodo CA), eMudhra, Kamu SM, Let's Encrypt, Logius, PKIoverheid, SHECA, SSL.com

Против (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (бивш Trustwave)

Въздържал се (2): HARICA, TurkTrust

Сертификат за гласуване на потребителите

За (7): Apple, Cisco, Google, Microsoft, Mozilla, Opera, 360

Срещу: 0

Въздържал се: 0

Според правилата на CA/Browser Forum сертификатът трябва да бъде одобрен от две трети от издателите на сертификати и 50% плюс един глас сред потребителите.

Представители на Digicert извини се за пропускане на вота, където щяха да гласуват за намаляване срока на валидност на удостоверенията. Те отбелязват, че за някои клиенти по-кратката продължителност може да е проблем, но има дългосрочни ползи за сигурността.

По един или друг начин индустрията все още не е готова да съкрати срока на валидност на сертификатите и напълно да премине към автоматизирани решения. Самите сертифициращи органи могат да предложат такива услуги, но много клиенти все още не са внедрили автоматизация. Затова намаляването на срока до 397 дни засега се отлага. Но въпросът остава открит.

Сега Google може да се опита да приложи стандарта „принудително“, както направи с протокола Прозрачност на сертификата. Освен това се поддържа и от други разработчици: Apple, Microsoft, Mozilla и Opera.

Нека си припомним, че пълната автоматизация е един от принципите, на които се основава работата на центъра за сертифициране с нестопанска цел Let’s Encrypt. Той издава безплатни сертификати за всички, но максималният живот на сертификата е ограничен до 90 дни. Сертификатите имат кратък живот две основни предимства:

1. ограничаване на щетите от компрометирани ключове и неправилно издадени сертификати, тъй като се използват за по-кратък период от време;
2. краткотрайните сертификати поддържат и насърчават автоматизацията, която е абсолютно необходима за лесното използване на HTTPS. Ако ще мигрираме цялата световна мрежа към HTTPS, тогава не можем да очакваме администраторът на всеки съществуващ сайт да актуализира ръчно сертификатите. След като издаването и подновяването на сертификати станат напълно автоматизирани, по-краткият живот на сертификатите ще стане по-удобен и практичен.

Проучване на GlobalSign на Habré показа, че 73,7% от анкетираните „по-скоро подкрепят“ съкращаването на срока на валидност на удостоверенията.

Що се отнася до скриването на иконата EV за SSL сертификати в адресната лента, консорциумът не е гласувал по този въпрос, тъй като въпросът за потребителския интерфейс на браузъра е изцяло в компетенциите на разработчиците. През септември-октомври ще бъдат пуснати нови версии на Chrome 77 и Firefox 70, които ще лишат EV сертификатите от специално място в адресната лента на браузъра. Ето как изглежда промяната, използвайки десктоп версията на Firefox 70 като пример:

Беше:

Ще:

Според експерта по сигурността Трой Хънт, премахването на EV информация от адресната лента на браузърите всъщност погребва този тип сертификати.

Източник: www.habr.com