Die Mitglieder des CA/Browser Forum, einer Plattform zur Koordination der Zusammenarbeit zwischen Browser-Herstellern und Zertifizierungsstellen, haben für eine Verkürzung der maximalen Lebensdauer von TLS-Zertifikaten gestimmt. Die maximale Gültigkeitsdauer von TLS-Zertifikaten wird von 398 auf 47 Tage verkürzt, es sei denn, das CA/Browser Forum überprüft die getroffene Entscheidung. Neben der Gültigkeitsdauer der Zertifikate wurde auch beschlossen, die Fristen für die erneute Verwendung von Validierungsdaten erheblich zu verkürzen: für SAN (Subject Alternative Name, wenn ein Zertifikat mehrere Ressourcen abdeckt, z. B. mehrere Domains) wird der Zeitraum von 398 auf 10 Tage verkürzt, für nicht-SAN von 825 auf 398 Tage.
Die Änderung soll schrittweise eingeführt werden: Ab dem 15. März 2026 wird die maximale Gültigkeitsdauer TLS-Zertifikate auf 250 Tage reduziert, ab dem 15. März 2027 auf 100 Tage und ab März 2029 auf 47 Tage. Nach Erreichen jeder Phase führt die Verarbeitung neuer Zertifikate, die nicht den genannten Kriterien entsprechen, zu der Fehlermeldung „ERR_CERT_VALIDITY_TOO_LONG“ in den Browsern. Zuvor konnten die Browser-Hersteller eine schrittweise Verkürzung der Lebensdauer von Zertifikaten von 8 Jahren auf 398 Tage (13 Monate) durchsetzen.
Für die neue Verkürzung der Lebensdauer von TLS-Zertifikaten stimmten 29 Teilnehmer, 6 enthielten sich und niemand stimmte dagegen. Zu den Befürwortern gehörten: Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Die Teilnehmer, die sich enthielten: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.
Die Einführung von kurzlebigen Zertifikaten soll eine schnellere Implementierung neuer Kryptoalgorithmen ermöglichen, sobald Schwachstellen in den derzeit gültigen entdeckt werden, und die Sicherheitsrisiken reduzieren. Beispielsweise werden kurzlebige Zertifikate im Falle eines unbemerkt gebliebenen Zertifikatsverlusts durch einen Hack verhindern, dass Angreifer längere Zeit den Verkehr des Opfers kontrollieren oder Zertifikate für Phishing verwenden können. Häufigere Validierungen und kürzere Gültigkeitsdauern reduzieren auch die Wahrscheinlichkeit, dass ein Zertifikat nach dem Verlust der Aktualität der darin enthaltenen Informationen weiterhin gültig bleibt, und verringern das Risiko der Verbreitung falsch ausgestellter Zertifikate.
Darüber hinaus werden kurzlebige Zertifikate einen Anreiz für die Einführung automatisierter Zertifikatsverwaltungssysteme schaffen, die den menschlichen Faktor ausschließen. Gleichzeitig könnte das Aussterben der Praxis der manuellen Zertifikatsaktualisierung auch negative Auswirkungen haben. Es wird darauf hingewiesen, dass einige Geräte, die Zertifikate nur im manuellen Modus akzeptieren, mit ungültigen Zertifikaten zurückbleiben könnten, da die Organisation der manuellen Aktualisierung alle anderthalb Monate kompliziert ist. Diese Änderung könnte auch negative Auswirkungen auf Unternehmen von Zertifizierungsstellen haben, die keine API für die automatisierte Ausstellung von Zertifikaten bereitstellen.
Quelle: opennet.ru
