Die Entwickler des Chromium-Projekts haben eine Änderung eingeführt, die die maximale Lebensdauer von TLS-Zertifikaten auf 398 Tage (13 Monate) festlegt.

Die Regel gilt für alle öffentlichen Serverzertifikate, die nach dem 1. September 2020 ausgestellt wurden. Wenn ein Zertifikat nicht den Anforderungen entspricht, wird der Browser es als ungültig ablehnen und konkret mit dem Fehler antworten ERR_CERT_VALIDITY_TOO_LONG.

Für Zertifikate, die vor dem 1. September 2020 erhalten wurden, bleibt das Vertrauen bestehen und ist auf 825 Tage (2,2 Jahre) begrenzt, wie heute.

Zuvor führten die Entwickler der Browser Firefox und Safari eine Begrenzung für die maximale Lebensdauer von Zertifikaten ein. Die Änderung tritt ebenfalls zum 1. September in Kraft..

Das bedeutet, dass Websites, die SSL/TLS-Zertifikate mit einer langen Lebensdauer verwenden, die nach dem Stichtag ausgestellt wurden, Datenschutzfehler in Browsern anzeigen werden.

Apple gab die neue Richtlinie zuerst auf der Sitzung des CA/Browser-Forums bekannt im Februar 2020.. Mit der Einführung der neuen Regel hat Apple versprochen, diese auf allen iOS- und macOS-Geräten anzuwenden. Dies wird Druck auf Webseitenadministratoren und Entwickler ausüben, damit ihre Zertifikate den Anforderungen entsprechen.

Die Verkürzung der Lebensdauer von Zertifikaten wird seit mehreren Monaten von Apple, Google und anderen Akteuren des CA/Browser-Forums diskutiert. Diese Politik hat sowohl Vorteile als auch Nachteile.

Ziel dieses Schrittes ist es, die Sicherheit von Websites zu erhöhen, indem sichergestellt wird, dass Entwickler Zertifikate mit den neuesten kryptografischen Standards verwenden. Zudem soll die Anzahl alter, vergessener Zertifikate verringert werden, die potenziell gestohlen und für Phishing sowie Drive-by-Malware-Angriffe missbraucht werden können. Sollten Angreifer die Krypto der SSL/TLS-Standards knacken können, werden kurzlebige Zertifikate den Übergang zu sichereren Zertifikaten in etwa einem Jahr ermöglichen.

Die Verkürzung der Gültigkeitsdauer von Zertifikaten hat einige Nachteile. Es wurde festgestellt, dass Apple und andere Unternehmen durch die Erhöhung der Austauschhäufigkeit von Zertifikaten das Leben von Website-Besitzern und Unternehmen, die Zertifikate und Compliance verwalten müssen, etwas erschweren.

Auf der anderen Seite fördern Let’s Encrypt und andere Zertifizierungsstellen Webmaster, automatisierte Verfahren zur Aktualisierung von Zertifikaten einzuführen. Dies reduziert den menschlichen Aufwand und das Risiko von Fehlern, während die Austauschhäufigkeit von Zertifikaten steigt.

Wie bekannt ist, stellt Let’s Encrypt kostenlose HTTPS-Zertifikate aus, deren Gültigkeit nach 90 Tagen abläuft, und bietet Werkzeuge zur Automatisierung der Verlängerung an. Dadurch fügen sich diese Zertifikate noch besser in die gesamte Infrastruktur ein – da Browser eine maximale Gültigkeitsdauer festlegen.

Diese Änderung wurde von den Mitgliedern des CA/Browser-Forums zur Abstimmung gebracht, jedoch wurde die Entscheidung aufgrund der Uneinigkeit der Zertifizierungsstellen nicht getroffen..

Ergebnisse

Abstimmung der Zertifikatsaussteller

Dafür (11 Stimmen): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (ehemals Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Gegen (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (ehemals Trustwave)
Enthaltungen (2): HARICA, TurkTrust