Die Entwickler des Projekts Chromium die Änderung wurde vorgenommen, die die maximale Lebensdauer von TLS-Zertifikaten auf 398 Tage (13 Monate) festlegt.

Diese Bedingung gilt für alle öffentlichen Server-Zertifikate, die nach dem 1. September 2020 ausgestellt wurden. Wenn das Zertifikat nicht dieser Regel entspricht, wird der Browser es als ungültig ablehnen und konkret mit dem Fehler antworten ERR_CERT_VALIDITY_TOO_LONG.

Für die bis zum 1. September 2020 erhaltenen Zertifikate wird das Vertrauen aufrechterhalten und auf 825 Tage (2,2 Jahre) begrenzt, wie heute.

Zuvor hatten die Entwickler der Browser Firefox und Safari die Begrenzung der maximalen Lebensdauer von Zertifikaten eingeführt. Die Änderung tritt ebenfalls zum 1. September in Kraft..

Das bedeutet, dass Websites, die SSL/TLS-Zertifikate mit langer Laufzeit verwenden, die nach dem Stichtag ausgestellt wurden, Datenschutzfehler in den Browsern anzeigen werden.

Apple kündigte die neue Richtlinie erstmals auf einer Sitzung des CA/Browser-Forums im Februar 2020 an.Bei der Implementierung der neuen Regel versprach Apple, diese auf allen iOS- und macOS-Geräten durchzusetzen. Dies wird Druck auf die Website-Administratoren und Entwickler ausüben, damit ihre Zertifikate den Anforderungen entsprechen.

Die Verkürzung der Lebensdauer von Zertifikaten wird seit mehreren Monaten von Apple, Google und anderen Teilnehmern des CA/Browser-Forums diskutiert. Diese Politik hat ihre Vor- und Nachteile.

Das Ziel dieses Schrittes besteht darin, die Sicherheit von Websites zu erhöhen, indem sichergestellt wird, dass Entwickler Zertifikate mit den neuesten kryptografischen Standards verwenden, und die Anzahl veralteter, vergessener Zertifikate zu reduzieren, die potenziell gestohlen und für Phishing- und Drive-by-Angriffe wiederverwendet werden können. Wenn Angreifer die Kryptografie im SSL/TLS-Standard knacken können, werden kurzlebige Zertifikate den Menschen den Wechsel zu sichereren Zertifikaten innerhalb eines Jahres ermöglichen.

Die Verkürzung der Zertifikatslaufzeit hat einige Nachteile. Es wurde festgestellt, dass durch die Erhöhung der Häufigkeit des Zertifikatswechsels Apple und andere Unternehmen auch das Leben von Website-Besitzern und Unternehmen, die die Zertifikate verwalten und den Anforderungen entsprechen müssen, etwas komplizierter machen.

Andererseits stimulieren Let’s Encrypt und andere Zertifizierungsstellen Webmaster dazu, automatisierte Verfahren zur Aktualisierung von Zertifikaten zu implementieren. Dies verringert den menschlichen Aufwand und das Risiko von Fehlern bei zunehmender Häufigkeit der Zertifikatswechsel.

Wie bekannt ist, stellt Let’s Encrypt kostenlose HTTPS-Zertifikate aus, deren Gültigkeit nach 90 Tagen abläuft, und bietet Werkzeuge zur Automatisierung der Verlängerung an. Somit fügen sich diese Zertifikate noch besser in die gesamte Infrastruktur ein, während Browser eine Obergrenze für die maximale Gültigkeitsdauer festlegen.

Diese Änderung wurde von den Mitgliedern des CA/Browser Forums zur Abstimmung gestellt, aber die Entscheidung wurde aufgrund der Uneinigkeit unter den Zertifizierungsstellen nicht genehmigt..

Ergebnisse

Abstimmung der Zertifikatsaussteller

Für (11 Stimmen): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (ehemals Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Gegen (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (ehemals Trustwave)
Enthielten sich (2): HARICA, TurkTrust