Максималният срок за действие на TLS сертификатите ще бъде съкратен от 398 на 47 дни

Членов ассоциации CA/Browser Forum, служащей платформой для координации совместной работы производителей браузеров и центра удостоверяющих сертификатов, проголосовали за сокращение максимального срока действия TLS-сертификатов. Максимальный срок действия TLS-сертификатов будет уменьшен с 398 до 47 дней, если CA/Browser Forum не пересмотрит это решение в будущем. Помимо срока действия сертификатов, также принято решение значительно сократить сроки повторного использования данных для валидации объектов: для SAN (Subject Alternative Name, когда один сертификат охватывает несколько ресурсов, например, сразу несколько доменов) срок будет сокращен с 398 до 10 дней, а для не-SAN — с 825 до 398 дней.

Изменение намерены внедрять постепенно: начиная с 15 марта 2026 года максимальный срок действия на TLS сертификати будет уменьшен до 250 дней, с 15 марта 2027 года — до 100 дней, а с марта 2029 года — до 47 дней. После каждого этапа обработка новых сертификатов, не соответствующих указанным критериям, будет приводить к отображению ошибки «ERR_CERT_VALIDITY_TOO_LONG» в браузерах. Ранее производителям браузеров удалось добиться постепенного сокращения срока жизни сертификатов с 8 лет до 398 дней (13 месяцев).

За новое сокращение срока действия TLS-сертификатов проголосовали 29 участников, 6 воздержались и никто не голосовал против. Участники, проголосовавшие «за»: Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Участники, которые воздержались: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.

Предполага се, че генерирането на краткотрайни сертификати ще ускори внедряването на нови криптоалгоритми, когато бъдат открити уязвимости в настоящите, и ще намали заплахите за сигурността. Например, при незабележка изтичане на сертификат в резултат на хакерска атака, краткотрайните сертификати ще предотвратят контрол на жертвения трафик от страна на престъпниците за дълъг период или използването на сертификатите за фишинг. По-честата валидация и намаляването на срока на валидност на сертификатите също ще намалят вероятността сертификатът да бъде в сила след загубата на актуалността на информацията, съдържаща се в него, и ще намалят риска от разпространение на неправилно издадени сертификати.

Освен това, краткотрайните сертификати ще станат стимул за внедряването на автоматизирани системи за управление на сертификати, освободени от човешкия фактор. Същевременно, премахването на практиката за ръчно обновяване на сертификати може да доведе до негативни последствия. Отбелязва се, че някои устройства, позволяващи зареждането на сертификати само в ръчен режим, могат да останат с невалидни сертификати заради сложността на организацията на ръчното обновление на всеки месец и половина. Промяната също може да има отрицателен ефект върху бизнеса на удостоверяващите центрове, които не предоставят API за автоматично получаване на сертификати.

Източник: opennet.ru