Vývojáři projektu Chromium provedli změnu, která stanovuje maximální dobu platnosti TLS certifikátů na 398 dní (13 měsíců).

Toto pravidlo se vztahuje na všechny veřejné serverové certifikáty vydané po 1. září 2020. Pokud certifikát toto pravidlo nesplňuje, prohlížeč ho odmítne jako neplatný a konkrétně odpoví chybou ERR_CERT_VALIDITY_TOO_LONG.

Pro certifikáty vydané před 1. zářím 2020 zůstane důvěra zachována a omezena na 825 dní (2,2 roku), jako dnes.

Dříve omezili maximální dobu platnosti certifikátů vývojáři prohlížečů Firefox a Safari. Změna rovněž nabývá účinnosti 1. září.

To znamená, že webové stránky používající SSL/TLS certifikáty s dlouhou dobou platnosti vydané po stanoveném termínu budou generovat chyby zabezpečení v prohlížečích.

Novou politiku nejprve oznámila Apple na zasedání fóra CA/Browser v únoru 2020. Při zavádění nového pravidla Apple slíbila, že ho bude aplikovat na všech zařízeních iOS a macOS. Tím se vyvine tlak na administrátory webových stránek a vývojáře, aby jejich certifikáty splňovaly požadavky.

Zkrácení doby platnosti certifikátů se již několik měsíců diskutuje mezi Apple, Googlem a dalšími účastníky CA/Browser. Tato politika má své výhody a nevýhody.

Cílem tohoto kroku je zvýšit bezpečnost webových stránek a zajistit, aby vývojáři používali certifikáty s nejnovějšími kryptografickými standardy, a snížit počet starých, zapomenutých certifikátů, které mohou být potenciálně odcizeny a zneužity pro phishing a útoky typu drive-by. Pokud by útočníci dokázali prolomit kryptografii ve standardu SSL/TLS, krátkodobé certifikáty by zajistily, že lidé přejdou na bezpečnější certifikáty zhruba po roce.

Zkrácení doby platnosti certifikátů má některé nevýhody. Bylo uvedeno, že zvyšováním frekvence výměny certifikátů Apple a další společnosti poněkud ztěžují život vlastníků webových stránek a společností, které musí spravovat certifikáty a dodržování požadavků.

Na druhou stranu, Let’s Encrypt a další certifikační autority podporují webmastery v zavádění automatizovaných procesů pro obnovu certifikátů. To snižuje lidské náklady a riziko chyb, jak se zvyšuje četnost výměny certifikátů.

Jak je známo, Let’s Encrypt vydává zdarma certifikáty HTTPS, které vyprší po 90 dnech, a poskytuje nástroje pro automatizaci jejich obnovy. Takže nyní tyto certifikáty ještě lépe zapadají do celkové infrastruktury – když prohlížeče stanovují omezení na maximální dobu platnosti.

Tato změna byla předložena k hlasování členy asociace CA/Browser Forum, ale rozhodnutí nebylo schváleno kvůli nesouhlasu certifikačních autorit..

Výsledky

Hlasování vydavatelů certifikátů

Pro (11 hlasů): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (dříve Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Proti (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (dříve Trustwave)
Zdrželi se (2): HARICA, TurkTrust