Udviklerne af projektet Chromium har foretaget en ændring, der fastsætter den maksimale levetid for TLS-certifikater til 398 dage (13 måneder).

Betingelsen gælder for alle offentlige servercertifikater, der er udstedt efter 1. september 2020. Hvis certifikatet ikke overholder denne regel, vil browseren afvise det som ugyldigt og specifikt svare med fejl ERR_CERT_VALIDITY_TOO_LONG.

For dem, der er modtaget før 1. september 2020, vil tilliden blive bevaret og begrænset til 825 dage (2,2 år), som i dag.

Tidligere indførte udviklerne af browsere som Firefox og Safari begrænsningen for den maksimale levetid for certifikater. Ændringen træder også i kraft den 1. september.

Det betyder, at websteder, der bruger SSL/TLS-certifikater med lang levetid, udstedt efter skæringsdatoen, vil vise fortrolighedsfejl i browserne.

Den første nye politik blev annonceret af Apple på et møde i CA/Browser-forummet i februar 2020. Ved at implementere den nye regel forsikrede Apple, at den vil blive anvendt på alle enheder med iOS og macOS. Dette vil lægge pres på webstedsejere og udviklere for at sikre, at deres certifikater opfylder kravene.

Forkortelsen af certifikatets levetid har været diskuteret i flere måneder af Apple, Google og andre deltagere i CA/Browser. Denne politik har sine fordele og ulemper.

Målet med dette skridt er at forbedre sikkerheden på webstedet ved at sikre, at udviklere bruger certifikater med de nyeste kryptografiske standarder, samt at reducere antallet af gamle, glemte certifikater, som potentielt kan blive stjålet og genbrugt til phishing og ondsindede drive-by angreb. Hvis angribere kan bryde kryptografien i SSL/TLS-standarden, vil kortvarige certifikater sikre, at folk kan overgå til mere sikre certifikater inden for cirka et år.

Forkortelsen af levetiden for certifikater har nogle ulemper. Det er blevet bemærket, at ved at øge hyppigheden af udskiftning af certifikater, komplicerer Apple og andre virksomheder også lidt livet for webstedsejere og virksomheder, der skal administrere certifikater og overholdelse af krav.

På den anden side tilskynder Let’s Encrypt og andre certificeringscentre webmasters til at implementere automatiserede procedurer til opdatering af certifikater. Dette reducerer menneskelige omkostninger og risikoen for fejl, efterhånden som frekvensen af certifikatudskiftninger stiger.

Som bekendt udsteder Let’s Encrypt gratis HTTPS-certifikater, der udløber efter 90 dage, og tilbyder værktøjer til automatisering af forlængelse. Så nu passer disse certifikater endnu bedre ind i den overordnede infrastruktur — efterhånden som browsere sætter begrænsninger for den maksimale gyldighedsperiode.

Denne ændring blev bragt til afstemning af deltagerne i CA/Browser Forum, men beslutningen blev ikke godkendt på grund af uenighed blandt certificeringscentre..

Resultater

Afstemning blandt certifikatudgivere

For (11 stemmer): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (tidligere Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Imod (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (tidligere Trustwave)
Undlod (2): HARICA, TurkTrust