Das gemeinnützige CA Let’s Encrypt, das von der Gemeinschaft betrieben wird und Zertifikate kostenlos an alle Interessierten ausstellt, hat die Implementierung der Unterstützung von ARI (ACME Renewal Information) in seiner Infrastruktur angekündigt. Dieses Protokoll-Extension ermöglicht es, Informationen über die Notwendigkeit der Zertifikatsaktualisierung an den Kunden zu übermitteln und den optimalen Zeitpunkt für die Aktualisierung zu empfehlen. Die ARI-Spezifikation befindet sich im Standardisierungsprozess beim IETF-Komitee (Internet Engineering Task Force), das sich mit der Entwicklung von Protokollen und Architektur des Internets befasst, und wird derzeit auf einen Entwurf überprüft.
Vor der Einführung von ARI bestimmte der Kunde selbst die Aktualisierungspolitik des Zertifikats, indem er beispielsweise regelmäßig den Aktualisierungsprozess über Cron auslöste oder Entscheidungen basierend auf der Lebensdauer des Zertifikats traf. Ein solches Vorgehen führte zu Schwierigkeiten, wenn eine vorzeitige Zertifikatsrücknahme erforderlich war, da es notwendig war, die Nutzer per E-Mail zu kontaktieren und sie zu einer manuellen Aktualisierung zu zwingen.
Das ARI-Extension ermöglicht es dem Kunden, den empfohlenen Zeitpunkt zur Aktualisierung des Zertifikats festzulegen, ohne an die 90-tägige Lebensdauer der Zertifikate gebunden zu sein und sich keine Sorgen machen zu müssen, dass eine außerplanmäßige Rücknahme des Zertifikats verpasst wird. Beispielsweise kann bei einer vorzeitigen Rücknahme über ARI die Aktualisierung nicht nach 90, sondern bereits nach 60 Tagen initiiert werden. Darüber hinaus ermöglicht ARI eine effektive Glättung der Spitzenlast auf Server Let’s Encrypt, indem der Zeitpunkt der Aktualisierung unter Berücksichtigung der Auslastung der Infrastruktur ausgewählt wird. GET https://example.com/acme/renewal-info/ „suggestedWindow“: { „start“: „2023-03-27T00:00:00Z“, „end“: „2023-03-29T00:00:00Z“ },
Quelle: opennet.ru
