Deltagerne i CA/Browser Forum, som fungerer som en platform for koordinering af samarbejde mellem producenter af browsere og certifikatudstedere, har stemt for at forkorte den maksimale levetid for TLS-certifikater. Den maksimale gyldighedsperiode for TLS-certifikater vil blive reduceret fra 398 til 47 dage, medmindre CA/Browser Forum senere revurderer beslutningen. Udover gyldighedsperioden for certifikaterne har man besluttet markant at forkorte genbrugsperioden for valideringsdata: for SAN (Subject Alternative Name, hvor ét certifikat dækker flere ressourcer, f.eks. gælder for flere domæner) vil perioden blive reduceret fra 398 til 10 dage, mens den for ikke-SAN vil blive reduceret fra 825 til 398 dage.
Ændringen vil blive implementeret gradvist: fra den 15. marts 2026 vil den maksimale gyldighedsperiode TLS-certifikater blive reduceret til 250 dage, fra den 15. marts 2027 til 100 dage, og fra marts 2029 til 47 dage. Efter hver fase vil behandling af nye certifikater, der ikke opfylder de nævnte kriterier, resultere i fejlmeddelelsen 'ERR_CERT_VALIDITY_TOO_LONG' i browserne. Tidligere har producenterne af browsere formået at forsvare en gradvis reduktion af certifikaternes levetid fra 8 år til 398 dage (13 måneder).
29 deltagere stemte for den nye forkortelse af TLS-certifikaters levetid, 6 undlod at stemme, og ingen stemte imod. Deltagerne, der stemte 'for': Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Deltagerne, der undlod at stemme: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.
Det antages, at generering af kortvarige certifikater vil muliggøre hurtigere implementering af nye kryptografiske algoritmer i tilfælde af identifikation af sårbarheder i de nuværende, samt reducere sikkerhedstrusler. For eksempel kan kortvarige certifikater forhindre angribere i at kontrollere offerets trafik i lang tid eller bruge certifikater til phishing, hvis der sker en usynlig lækage af certifikatet som følge af et brud. Hyppigere validering og forkortelse af certifikatets gyldighed vil også mindske sandsynligheden for, at et certifikat fortsætter med at være gyldigt efter at de informationer, det indeholder, er blevet forældede, og reducere risikoen for distribution af forkert udstedte certifikater.
Derudover vil kortvarige certifikater fungere som incitament for implementeringen af automatiske certifikatstyringssystemer, der er fri for menneskelige fejl. Dog kan udfasningen af praksis med manuel opdatering af certifikater føre til negative konsekvenser. Det bemærkes, at nogle enheder, der kun tillader upload af certifikater manuelt, kunne stå tilbage med ugyldige certifikater på grund af kompleksiteten ved at organisere manuelle opdateringer hver halvanden måned. Ændringen kan også få negative konsekvenser for certificeringsmyndigheder, der ikke tilbyder API til automatisk modtagelse af certifikater.
Kilde: opennet.ru
