Die gemeinnützige Zertifizierungsstelle Let's Encrypt, die von der Community betrieben wird und kostenlos Zertifikate an alle Interessierten ausgibt, hat bekanntgegeben, dass sie schrittweise die Gültigkeitsdauer der ausgegebenen TLS-Zertifikate von 90 auf 45 Tage reduzieren wird. Am 10. Februar 2027 wird die Gültigkeitsdauer auf 64 Tage verkürzt, und am 16. Februar 2028 auf 45 Tage. Die optionale Möglichkeit zur Beantragung von Zertifikaten mit einer Gültigkeit von 45 Tagen wird am 13. Mai 2026 verfügbar sein.
Gleichzeitig wird der Zeitraum für die Autorisierung schrittweise reduziert – am 10. Februar 2027 wird er von 30 auf 10 Tage verkürzt, und am 16. Februar 2028 von 10 Tagen auf 7 Stunden. Unter dem Zeitraum der Autorisierung versteht man die Zeit nach der Bestätigung der eigenen Rechte, Hosting, innerhalb derer das Zertifikat ohne erneute Prüfungen ausgestellt werden kann. Nach Ablauf dieser Zeit ist eine neue Bestätigung der Rechte erforderlich.
Der Grund für die Verkürzung der Gültigkeitsdauer von Zertifikaten sind die neuen Anforderungen des CA/Browser Forum, die von Browserherstellern und Zertifizierungsstellen eingehalten werden müssen. Eine ähnliche Verkürzung der Gültigkeitsdauer wird von allen Zertifizierungsstellen umgesetzt. Das CA/Browser Forum hat den endgültigen Termin für die Implementierung auf März 2029 festgelegt, wobei die maximale Gültigkeitsdauer eines Zertifikats 47 Tage beträgt. Nach März 2029 wird die Verarbeitung neuer Zertifikate in Browsern, deren Gültigkeitsdauer 47 Tage überschreitet, zu den Fehlern „ERR_CERT_VALIDITY_TOO_LONG“ führen.
Die Vorteile des Wechsels zu kurzlebigen Zertifikaten liegen darin, dass die Implementierungszeit neuer Kryptografie-Algorithmen bei Entdeckung von Schwachstellen in den derzeit gültigen Zertifikaten verkürzt wird und die Sicherheit erhöht wird. Beispielsweise können kurzlebige Zertifikate verhindern, dass Angreifer beim unbemerkt bleibenden Zertifikatsverlust lange Zeit den Datenverkehr des Opfers kontrollieren oder die Zertifikate für Phishing-Angriffe nutzen. Häufigere Überprüfungen des Domainbesitzes und kürzere Laufzeiten der Zertifikate reduzieren auch die Wahrscheinlichkeit, dass ein Zertifikat nach Verlust der Aktualität der darin enthaltenen Informationen weiterhin gültig bleibt, und verringern das Risiko der Verbreitung fehlerhaft ausgestellter Zertifikate.
Aufgrund der verkürzten Gültigkeitsdauer von Let’s Encrypt-Zertifikaten wird Benutzern empfohlen, ihre Zertifikate nicht manuell zu aktualisieren, sondern auf automatisierte Zertifikatsverwaltungssysteme umzusteigen. Nutzer, die bereits automatisierte Systeme verwenden, sollten sicherstellen, dass ihre Werkzeuge Zertifikate mit verkürzter Laufzeit korrekt unterstützen. Um ein rechtzeitiges automatisches Aktualisieren der Zertifikate zu koordinieren, können Administratoren die ARI-Protok-Erweiterung (ACME Renewal Information) nutzen, die Informationen zum Bedarf an Zertifikatsaktualisierungen bereitstellt und die besten Zeitpunkte für die Aktualisierung auswählt. Es ist auch sinnvoll, ein Überwachungssystem einzurichten, um Situationen zu erkennen, in denen ein Zertifikat nicht rechtzeitig aktualisiert wurde.
Um die Bestätigung der Domainrechte zu vereinfachen, plant das Projekt Let’s Encrypt für 2026 die Einführung eines neuen Verfahrens zur DNS-Überprüfung namens DNS-PERSIST-01. Im Gegensatz zu den Methoden HTTP-01 und DNS-01 erfordert diese Methode keine Aktualisierung von Informationen bei jeder Überprüfung und der ACME-Client muss keinen Zugang zur Web-Infrastruktur oder zum DNS-Server haben. Es genügt, einmal einen bestimmten TXT-Eintrag (‘_validation-persist.example.com. IN TXT („ca.example;" » accounturi=https://ca.example/acct/123")’) in den DNS einzufügen, und der ACME-Client kann die Authentifizierung ohne Aktualisierung der Daten im DNS durchführen.
Quelle: opennet.ru
