Das gemeinnützige, von der Gemeinschaft betriebene Zertifizierungszentrum Let's Encrypt, das Zertifikate kostenlos für alle zur Verfügung stellt, hat gewarnt, dass die Gültigkeitsdauer von TLS-Zertifikaten von 90 auf 64 Tage verkürzt wird. Ab dem 10. Februar 2027 werden alle neuen und erneuerten Zertifikate für 64 Tage ausgestellt, während die vor diesem Datum ausgestellten 90-tägigen Zertifikate weiterhin gültig bleiben. Darüber hinaus wird ab dem 10. Februar 2027 die Genehmigungszeit nach der Bestätigung der Domainrechte von 30 auf 10 Tage verkürzt, in der ein Zertifikat ohne erneute Überprüfungen ausgestellt werden kann. Ab dem 16. Februar 2028 soll die Gültigkeitsdauer der Zertifikate von 64 auf 45 Tage verkürzt werden, und die Genehmigung von 10 Tagen auf 7 Stunden.
Der Grund für die Verkürzung der Gültigkeitsdauer der Zertifikate sind neue Anforderungen des CA/Browser-Forums, die im Rahmen der Zusammenarbeit von Browserherstellern und Zertifizierungsstellen entwickelt wurden. Eine ähnliche Verkürzung der Gültigkeitsdauer wird von allen Zertifizierungsstellen umgesetzt. Das CA/Browser-Forum hat einen endgültigen Termin für die Implementierung bis März 2029 festgelegt, wobei die maximale Gültigkeit eines Zertifikats auf 47 Tage begrenzt wird. Nach März 2029 wird die Verarbeitung neuer Zertifikate, deren Gültigkeit mehr als 47 Tage beträgt, zu Fehlern "ERR_CERT_VALIDITY_TOO_LONG" im Browser führen.
Der Übergang zu kurzlebigen Zertifikaten wird die Einführung neuer Kryptoalgorithmen im Falle von Sicherheitsanfälligkeiten beschleunigen und es Angreifern erschweren, den Datenverkehr des Opfers über längere Zeit zu kontrollieren oder Zertifikate bei einer Sicherheitsverletzung zum Phishing zu verwenden. Eine häufigere Überprüfung des Eigentums an Domain und die Verkürzung der Gültigkeitsdauern der Zertifikate werden auch die Wahrscheinlichkeit verringern, dass ein Zertifikat weiterhin gültig bleibt, nachdem die darin enthaltenen Informationen veraltet sind, und das Risiko der Verbreitung von falsch ausgestellten Zertifikaten senken.
Quelle: opennet.ru
