Nekomerční certifikační autorita Let’s Encrypt, řízená komunitou a poskytující certifikáty zdarma všem zájemcům, oznámila záměr postupně snížit platnost vydávaných TLS certifikátů ze 90 na 45 dní. Dne 10. února 2027 bude doba platnosti certifikátů zkrácena na 64 dní, a 16. února 2028 na 45 dní. Možnost získání certifikátů s 45denní platností se objeví 13. května 2026.
Současně bude postupně zkracována doba trvání autorizace — 10. února 2027 bude zkrácena z 30 na 10 dní, a 16. února 2028 — z 10 dní na 7 hodin. Pod pojmem doba trvání autorizace se rozumí čas po potvrzení vlastnických práv na doména, během něhož může být certifikát vydán bez nutnosti opakovaných kontrol. Po vypršení této doby je vyžadováno nové potvrzení práv.
Jako důvod zkrácení platnosti certifikátů se uvádějí nové požadavky asociace CA/Browser Forum, kterými se musí řídit výrobci prohlížečů a certifikační autority. Podobné zkrácení platnosti bude zavedeno všemi certifikačními autoritami. CA/Browser Forum stanovilo konečný termín dokončení implementace na březen 2029, a maximální doba platnosti certifikátu — na 47 dní. Po březnu 2029 zpracování v prohlížečích nových certifikátů, jejichž platnost přesahuje 47 dní, povede k chybě „ERR_CERT_VALIDITY_TOO_LONG“.
Mezi výhody přechodu na krátkodobé certifikáty patří možnost zkrátit dobu implementace nových kryptografických algoritmů v případě zjištění zranitelností v aktuálně platných, a také zvýšení bezpečnosti. Například v případě nenápadného úniku certifikátu v důsledku hackingových útoků zabrání krátkodobé certifikáty útočníkům v dlouhodobém ovládání provozu oběti nebo využití certifikátů pro phishing. Častější kontrola vlastnictví domény a zkrácení doby platnosti certifikátů také sníží pravděpodobnost, že certifikát zůstane v platnosti po ztrátě aktuálnosti obsažených informací a sníží riziko šíření chybně vydaných certifikátů.
Vzhledem ke zkrácení platnosti certifikátů doporučil Let’s Encrypt uživatelům, aby neaktualizovali certifikáty ručně, ale přešli na automatizované systémy správy certifikátů. Uživatelé, kteří již používají automatizované systémy, by se měli ujistit, že jejich nástroje správně podporují certifikáty se zkrácenou platností. Pro koordinaci včasné automatické obnovy certifikátů mohou administrátoři využít rozšíření protokolu ARI (ACME Renewal Information), které umožňuje získávat informace o potřebě obnovy certifikátů a vybírat optimální čas pro obnovu. Také dává smysl nastavit systém monitorování, aby se zjistilo, kdy certifikát nebyl včas obnoven.
Aby se usnadnilo potvrzení práv na doménu, plánuje projekt Let’s Encrypt zavést v roce 2026 nový způsob ověřování DNS-PERSIST-01, který na rozdíl od metod HTTP-01 a DNS-01 nevyžaduje aktualizaci informací při každém ověření a přístup ACME klienta k webové infrastruktuře nebo DNS serveru. V PERSIST-01 stačí jednou přidat do DNS určitou TXT záznam (‘_validation-persist.example.com. IN TXT («ca.example;» » accounturi=https://ca.example/acct/123″)’) a ACME klient bude moci provádět autorizaci bez aktualizace dat v DNS.
Zdroj: opennet.ru
