TLS-sertifikaatide maksimaalne kehtivusaeg lüheneb 398 päevalt 47 päevale

CA/Browsers Forumi liikmed, kes on kohtumispaik brauseritootjate ja sertifitseerimiskeskuste koostöö koordineerimiseks, hääletasid TLS-sertifikaatide maksimaalse kehtivusaja lühendamise poolt. TLS-sertifikaatide maksimaalne kehtivusaeg lüheneb 398 päevalt 47 päevale, kui CA/Browsers Forumi otsus ei muutu. Lisaks sertifikaatide kehtivusele otsustati oluliselt vähendada ka objekti valideerimise andmete uuesti kasutamise tähtaegu: SAN (Subject Alternative Name, kui üks sertifikaat katab mitmeid ressursse, näiteks kehtib mitme domeeni jaoks) tähtaeg lüheneb 398 päevalt 10 päevale, ja mitte-SAN puhul 825 päevalt 398 päevale.

Muudatust kavatsetakse edendada järk-järgult: alates 15. märtsist 2026 lühendatakse maksimaalne kehtivusaeg TLS-sertifikaadid 250 päevani, 15. märtsist 2027 100 päevani, ning märtsist 2029 47 päevani. Iga etapi saabumise järel toob uute sertifikaatide, mis ei vasta nimetatud kriteeriumidele, töötlemine kaasa tõrke „ERR_CERT_VALIDITY_TOO_LONG“ ilmumise brauserites. Varem suutsid brauseritootjad kaitsta järk-järgset sertifikaatide kehtivusaja lühendamist 8 aastalt 398 päevani (13 kuud).

Uue kehtivusaja lühendamise poolt hääletas 29 osalejat, 6 hoidusid ja keegi ei hääletanud vastu. Hääletanud osalejad: Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Hoiatusi andnud osalejad: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.

Eeldatakse, et lühike kehtivusajaga sertifikaatide genereerimine võimaldab kiiremini rakendada uusi krüptoalgoritme, kui praegustes algoritmides leitakse haavatavusi, ja vähendab turvaprobleeme. Näiteks aitab lühikese elueaga sertifikaatide kasutamine takistada kurjategijatel pikaajaliselt ohvri liiklust kontrollida või sertifikaate kalastamiseks kasutada juhul, kui sertifikaadi lekkimine toimub häkkimise tõttu. Sageli toimuvad valideerimisprotsessid ja sertifikaatide lühenenud kehtivusaeg vähendavad ka tõenäosust, et sertifikaat kehtib jätkuvalt pärast selle teabele vastamatuse kaotamist ning vähendab valevälja antud sertifikaatide leviku riski.

Lisaks saavad lühike kehtivusajaga sertifikaadid stiimuli automaatsete sertifikaadihalduse süsteemide rakendamiseks, mis on vabad inimfaktorist. Kuid käsitsi sertifikaatide uuendamise praktika kaotamine võib kaasa tuua ka negatiivseid tagajärgi. On täheldatud, et mõned seadmed, mis lubavad sertifikaatide allalaadimist ainult käsitsi, võivad jääda kehtetute sertifikaatidega seoses käsitsi uuendamise keerukuse tõttu iga pooleteise kuu tagant. See muudatus võib negatiivselt mõjutada ka selliste sertifitseerimiskeskuste äri, kes ei paku automaatsete sertifikaatide saamiseks API-d.

Allikas: opennet.ru