Die Mitglieder der CA/Browser Forum, einer Plattform zur Koordination der Zusammenarbeit zwischen Browserherstellern und Zertifizierungsstellen, haben für eine Verkürzung der maximalen Lebensdauer von TLS-Zertifikaten gestimmt. Die maximale Gültigkeitsdauer von TLS-Zertifikaten wird von 398 auf 47 Tage verkürzt, sofern das CA/Browser Forum diese Entscheidung nicht in Zukunft überarbeitet. Neben der Gültigkeitsdauer der Zertifikate wurde beschlossen, auch die Fristen für die Wiederverwendung von Validierungsdaten erheblich zu verkürzen: Für SAN (Subject Alternative Name, wenn ein Zertifikat mehrere Ressourcen abdeckt, beispielsweise für mehrere Domains) wird die Frist von 398 auf 10 Tage und für Nicht-SAN von 825 auf 398 Tage verkürzt.
Die Änderung soll schrittweise gefördert werden: Ab dem 15. März 2026 wird die maximale Gültigkeitsdauer TLS-Zertifikaten wird auf 250 Tage verkürzt, ab dem 15. März 2027 auf 100 Tage und ab März 2029 auf 47 Tage. Nach Erreichung jeder Phase wird die Verarbeitung neuer Zertifikate, die nicht den genannten Kriterien entsprechen, zu einem Fehler „ERR_CERT_VALIDITY_TOO_LONG“ in Browsern führen. Zuvor konnten die Hersteller von Browsern eine schrittweise Verkürzung der Lebensdauer von Zertifikaten von 8 Jahren auf 398 Tage (13 Monate) verteidigen.
Für die neue Verkürzung der Lebensdauer von TLS-Zertifikaten stimmten 29 Teilnehmer, 6 enthielten sich und niemand stimmte dagegen. Die Teilnehmer, die mit "ja" stimmten: Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Teilnehmer, die sich enthielten: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.
Die Einführung von kurzlebigen Zertifikaten soll die Implementierung neuer Kryptographie-Algorithmen beschleunigen, sollte es Sicherheitsanfälligkeiten in den aktuellen Zertifikaten geben, und gleichzeitig Sicherheitsbedrohungen reduzieren. Wenn beispielsweise ein Zertifikat unbemerkt durch einen Hack kompromittiert wird, verhindern kurzlebige Zertifikate, dass Angreifer für längere Zeit den Datenverkehr des Opfers kontrollieren oder die Zertifikate für Phishing nutzen können. Häufigere Validierungen und verkürzte Laufzeiten der Zertifikate verringern auch die Wahrscheinlichkeit, dass ein Zertifikat nach dem Verlust der Aktualität der darin enthaltenen Informationen weiterhin gültig bleibt, und senken das Risiko, falsch ausgestellte Zertifikate zu verbreiten.
Darüber hinaus werden kurzfristige Zertifikate einen Anreiz für die Implementierung automatischer Zertifikatsmanagementsysteme schaffen, die ohne menschlichen Einfluss arbeiten. Allerdings könnte die Abschaffung der manuellen Aktualisierung von Zertifikaten auch negative Folgen haben. Es wird darauf hingewiesen, dass einige Geräte, die nur manuelle Zertifikatsinstallationen zulassen, möglicherweise mit ungültigen Zertifikaten zurückgelassen werden, da die Organisation der manuellen Aktualisierung alle anderthalb Monate komplex ist. Diese Änderung könnte auch negative Auswirkungen auf die Geschäfte der Zertifizierungsstellen haben, die keine API zur automatisierten Beschaffung von Zertifikaten anbieten.
Quelle: opennet.ru
