Некомерсиален сертификатен център Let's Encrypt, управляван от общността, предоставящ безплатно сертификати на всички желаещи, обяви решението си постепенно да намали срока на валидност на издаваните TLS сертификати от 90 на 45 дни. На 10 февруари 2027 година срокът на валидност на сертификатите ще бъде съкратен до 64 дни, а на 16 февруари 2028 година — до 45 дни. Опционалната възможност за получаване на сертификати с валидност 45 дни ще бъде налична от 13 май 2026 година.
Паралелно с това ще бъде постепенно съкратен и срокът на валидност на авторизацията — на 10 февруари 2027 година той ще бъде намален от 30 на 10 дни, а на 16 февруари 2028 година — от 10 дни на 7 часа. Под срок на валидност на авторизацията се разбира времето след потвърждаване на правата на домейн, в което сертификатът може да бъде издаден без повторни проверки. След изтичането на този период е необходимо ново потвърждение на правата.
Като причина за съкращаването на срока на валидност на сертификатите се посочват новите изисквания на асоциацията CA/Browser Forum, които производителите на браузъри и сертификатните центрове трябва да спазват. Подобно съкращаване на срока на валидност ще бъде приложено от всички сертификатни центрове. CA/Browser Forum е определила краен срок за завършване на внедряването март 2029 година, а максималният срок на валидност на сертификата — 47 дни. След март 2029 година обработката в браузърите на нови сертификати с валидност, надвишаваща 47 дни, ще доведе до появата на грешка "ERR_CERT_VALIDITY_TOO_LONG".
Сред предимствата на прехода към краткосрочни сертификати се отбелязва възможността за намаляване на времето за внедряване на нови криптографски алгоритми в случай на откритие на уязвимости в сегашно действащите, а също и повишаване на сигурността. Например, в случай на незабелязана Leakage на сертификат в резултат на хакерска атака, краткоживеещите сертификати ще попречат на нарушителите да контролират трафика на жертвата продължително време или да използват сертификатите за фишинг. По-често проверяване на правото на собственост на домейна и намаляване на сроковете на валидност на сертификатите също ще намалят вероятността сертификатът да продължи да бъде валиден след загубата на актуалността на информацията, съдържаща се в него, и ще намалят риска от разпространение на неправомерно издадени сертификати.
Във връзка с намаляването на срока на действие на сертификатите, Let’s Encrypt препоръчва на потребителите да не обновяват сертификатите ръчно, а да преминат към автоматизирани системи за управление на сертификатите. В същото време, потребителите, които вече използват автоматизирани системи, трябва да се уверят, че инструментите им коректно поддържат сертификати със съкратен срок на действие. За координиране на навременно автоматично обновление на сертификатите, администраторите могат да използват разширение на протокола ARI (ACME Renewal Information), което позволява получаване на информация за необходимостта от обновление на сертификатите и избор на оптимално време за обновление. Също така е разумно да се настрои система за мониторинг за идентифициране на ситуации, когато сертификатът не е бил обновен навреме.
За улесняване на потвърждаването на правата върху домейн, проектът Let’s Encrypt планира да въведе през 2026 година нов метод за проверка DNS-PERSIST-01, който, за разлика от методите HTTP-01 и DNS-01, не изисква обновяване на информацията при всяка проверка и наличието на достъп до уеб инфраструктурата или DNS сървъра от страна на ACME клиента. В PERSIST-01 е достатъчно единствено да се добави в DNS определена TXT-запис (‘_validation-persist.example.com. IN TXT («ca.example;» » accounturi=https://ca.example/acct/123″)’) и ACME клиентът ще може да провежда авторизация без обновяване на данните в DNS.
Източник: opennet.ru
