Let's Encrypt ще намали срока на действие на сертификатите до 45 дни

Некомерциалният удостоверяващ център Let’s Encrypt, управляван от общността и предоставящ сертификати безплатно на всички желаещи, обяви решението да намали срока на действие на издаваните TLS-сертификати от 90 на 45 дни. На 10 февруари 2027 година срокът на валидност на сертификатите ще бъде намален на 64 дни, а на 16 февруари 2028 година — на 45 дни. Опционалната възможност за получаване на сертификати с валидност 45 дни ще бъде налична от 13 май 2026 година.

Същевременно ще се намали и периодът на авторизация — на 10 февруари 2027 година той ще бъде намален от 30 на 10 дни, а на 16 февруари 2028 година — от 10 дни на 7 часа. Под периода на действие на авторизацията се разбира времето след потвърждаване на правата. домен, през което сертификатът може да бъде издаден без повторни проверки. След изтичане на този период е необходимо ново потвърждение на правата.

Причина за намаляването на срока на действие на сертификатите са новите изисквания на асоциацията CA/Browser Forum, с които трябва да се съобразяват производителите на браузери и удостоверяващите центрове. Подобно съкращение на срока на действие ще бъде внедрено от всички удостоверяващи центрове. CA/Browser Forum определи крайния срок за завършване на внедряването до март 2029 година, а максималният срок на действие на сертификата — 47 дни. След март 2029 година обработката в браузерите на нови сертификати, чието действие надхвърля 47 дни, ще доведе до грешка „ERR_CERT_VALIDITY_TOO_LONG“.

Сред предимствата на преминаването към краткосрочни сертификати се посочва възможността за ускоряване на внедряването на нови криптоалгоритми в случай на открити уязвимости в настоящите, както и повишената сигурност. Например, при незабелязана изтичане на сертификат вследствие на хакерска атака, краткосрочните сертификати ще затруднят злоупотребите, предотвратявайки дългосрочното контролиране на трафика на жертвата или използването на сертификатите за фишинг. По-честото потвърждение на владението на домейна и съкращаването на сроковете на действие на сертификатите също ще намалят вероятността сертификатът да остава валиден след загуба на актуалността на информацията, съдържаща се в него, и ще намалят риска от разпространение на неправилно издадени сертификати.

Във връзка със съкращаването на срока на действие на сертификатите, Let's Encrypt препоръчва на потребителите да не обновяват сертификатите ръчно, а да преминат на автоматизирани системи за управление на сертификати. По този начин потребителите, които вече използват автоматизирани системи, трябва да се уверят, че техният софтуер правилно поддържа сертификати с намален срок на действие. За координиране на своевременно автоматично обновление на сертификатите, администраторите могат да използват разширение на протокола ARI (Информация за обновление на ACME), което позволява получаване на информация за необходимостта от обновление на сертификатите и избор на оптимално време за обновление. Също така е разумно да се настрои система за мониторинг за откриване на ситуации, когато сертификатът не е бил обновен навреме.

С цел опростяване на потвърждаването на права над домейн, проектът Let's Encrypt планира да въведе през 2026 година нов метод на проверка DNS-PERSIST-01, който, за разлика от методите HTTP-01 и DNS-01, не изисква обновление на информацията при всяка проверка и наличието на достъп до уеб инфраструктурата или DNS сървър. В PERSIST-01 е достатъчно един път да се добави в DNS определена TXT записа (‘_validation-persist.example.com. IN TXT («ca.example;» » accounturi=https://ca.example/acct/123″)’) и ACME клиентът ще може да провежда авторизация без обновление на данните в DNS.

Източник: opennet.ru