Účastníci asociace CA/Browser Forum, která slouží jako platforma pro koordinaci spolupráce mezi výrobci prohlížečů a certifikačními autoritami, hlasovali pro zkrácení maximální doby platnosti TLS certifikátů. Maximální doba platnosti TLS certifikátů bude zkrácena z 398 na 47 dní, pokud se CA/Browser Forum v budoucnu nerozhodne jinak. Kromě doby platnosti certifikátů bylo také rozhodnuto výrazně zkrátit dobu opětovného použití validačních údajů: pro SAN (Subject Alternative Name, kdy jeden certifikát pokrývá více zdrojů, například platí pro více domén) se doba zkrátí z 398 na 10 dní, a pro ne-SAN — ze 825 na 398 dní.
Změnu plánují postupně propagovat: počínaje 15. březnem 2026 maximální doba platnosti TLS certifikátů bude snížena na 250 dní, od 15. března 2027 na 100 dní, a od března 2029 na 47 dní. Po dosažení každé etapy bude zpracování nových certifikátů, které nebudou vyhovovat uvedeným kritériím, vyústěním v prohlížečích v chybové hlášení "ERR_CERT_VALIDITY_TOO_LONG". Dříve se výrobcům prohlížečů podařilo prosadit postupné zkrácení doby platnosti certifikátů z 8 let na 398 dní (13 měsíců).
Pro nové zkrácení doby platnosti TLS certifikátů hlasovalo 29 účastníků, 6 se zdrželo a nikdo nehlasoval proti. Účastníci, kteří hlasovali "pro": Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Účastníci, kteří se zdrželi: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.
Předpokládá se, že generace krátkodobých certifikátů umožní rychlejší zavádění nových kryptografických algoritmů v případě odhalení zranitelností u stávajících, a také sníží bezpečnostní hrozby. Například v případě nepozorované úniku certifikátu v důsledku hackingu krátkodobé certifikáty zabrání útočníkům dlouho kontrolovat provoz oběti nebo používat certifikáty k phishingu. Častější validace a zkrácení platnosti certifikátů také sníží pravděpodobnost, že certifikát zůstane v platnosti po ztrátě aktuálnosti informací v něm obsažených a sníží riziko šíření nesprávně vydaných certifikátů.
Kromě toho se krátkodobé certifikáty stanou podnětem k zavádění automatických systémů správy certifikátů, zbavených lidského faktoru. Přitom vyřazení praxe ručního obnovení certifikátů může mít i negativní důsledky. Uvádí se, že některá zařízení, která umožňují načítání certifikátů pouze v ručním režimu, mohou zůstat s neplatnými certifikáty kvůli složitosti organizace ručního obnovení každé půl a půl měsíce. Změna může také negativně ovlivnit podnikání certifikačních autorit, které neposkytují API pro automatické získávání certifikátů.
Zdroj: opennet.ru
