Das gemeinnützige Zertifizierungszentrum Let’s Encrypt, das von der Gemeinschaft kontrolliert wird und kostenlos Zertifikate an alle Interessierten ausstellt, hat angekündigt, die Gültigkeitsdauer der ausgegebenen TLS-Zertifikate schrittweise von 90 auf 45 Tage zu verkürzen. Am 10. Februar 2027 wird die Gültigkeitsdauer der Zertifikate auf 64 Tage verkürzt, und am 16. Februar 2028 auf 45 Tage. Die optionale Möglichkeit, Zertifikate mit einer Gültigkeit von 45 Tagen zu erhalten, wird am 13. Mai 2026 verfügbar sein.
Gleichzeitig wird der Zeitraum für die Autorisierungsdauer schrittweise verkürzt – am 10. Februar 2027 wird er von 30 auf 10 Tage verkürzt, und am 16. Februar 2028 von 10 Tagen auf 7 Stunden. Unter dem Zeitraum für die Autorisierung versteht man die Zeit nach der Bestätigung der eigenen Rechte auf Domain haben, in der ein Zertifikat ohne erneute Prüfungen ausgestellt werden kann. Nach Ablauf dieser Zeit ist eine neue Bestätigung der Rechte erforderlich.
Als Grund für die Verkürzung der Gültigkeitsdauer von Zertifikaten werden die neuen Anforderungen der CA/Browser Forum genannt, die von Browserherstellern und Zertifizierungsstellen eingehalten werden müssen. Eine ähnliche Verkürzung der Gültigkeitsdauer wird von allen Zertifizierungsstellen umgesetzt. Das CA/Browser Forum hat die Frist für die vollständige Umsetzung auf März 2029 festgelegt, und die maximale Gültigkeitsdauer eines Zertifikats beträgt 47 Tage. Nach März 2029 wird die Verarbeitung neuer Zertifikate in Browsern, deren Gültigkeitsdauer 47 Tage überschreitet, zu einem Fehler mit der Meldung „ERR_CERT_VALIDITY_TOO_LONG“ führen.
Zu den Vorteilen des Wechsels zu kurzlebigen Zertifikaten gehört die Möglichkeit der schnelleren Einführung neuer Krypto-Algorithmen im Falle von entdeckten Schwachstellen in den derzeit gültigen sowie eine erhöhte Sicherheit. Beispielsweise würden bei einer unauffälligen Zertifikatsleckage infolge eines Hacks kurzlebige Zertifikate verhindern, dass Angreifer über längere Zeit den Datenverkehr des Opfers kontrollieren oder Zertifikate für Phishing verwenden. Häufigere Überprüfungen des Domainbesitzes und kürzere Gültigkeitsfristen der Zertifikate verringern ebenfalls die Wahrscheinlichkeit, dass ein Zertifikat weiterhin gültig bleibt, nachdem die darin enthaltenen Informationen nicht mehr aktuell sind, und verringern das Risiko der Verbreitung falsch ausgestellter Zertifikate.
Aufgrund der kürzeren Laufzeit der Let’s Encrypt-Zertifikate empfiehlt es sich, dass Benutzer die Zertifikate nicht manuell aktualisieren, sondern auf automatisierte Zertifikatsmanagementsysteme umsteigen. Die Benutzer, die bereits automatisierte Systeme verwenden, sollten sicherstellen, dass ihre Werkzeuge die Zertifikate mit verkürzter Laufzeit korrekt unterstützen. Zur Koordination einer rechtzeitigen automatischen Zertifikatsaktualisierung können Administratoren die ARI-Protok-Erweiterung (ACME Renewal Information) nutzen, die Informationen über die Notwendigkeit einer Zertifikatsaktualisierung bereitstellt und den optimalen Zeitpunkt für die Aktualisierung auswählt. Es ist auch sinnvoll, ein Überwachungssystem einzurichten, um Situationen zu erkennen, in denen ein Zertifikat nicht rechtzeitig aktualisiert wurde.
Um die Validierung der Domänenrechte zu erleichtern, plant das Projekt Let’s Encrypt, im Jahr 2026 eine neue DNS-PERSIST-01 Prüfmethode einzuführen, die im Gegensatz zu den Methoden HTTP-01 und DNS-01 keine Aktualisierung der Informationen bei jeder Überprüfung und keinen Zugriff des ACME-Clients auf die Web-Infrastruktur oder den DNS-Server erfordert. Im PERSIST-01 reicht es aus, einmal einen bestimmten TXT-Eintrag in DNS hinzuzufügen (‘_validation-persist.example.com. IN TXT (‘ca.example;’ ‘accounturi=https://ca.example/acct/123’)’) und der ACME-Client kann die Autorisierung ohne Aktualisierung der Daten im DNS durchführen.
Quelle: opennet.ru
