Let's Encrypt lühendab sertifikaatide kehtivusaega 45 päevani

Kogukonna kontrollitav mittetulundusühing Let’s Encrypt, mis pakub sertifikaate tasuta kõigile huvilistele, teatas otsusest vähendada järk-järgult väljastatavate TLS-sertifikaatide kehtivusaega 90 päevalt 45 päevale. 10. veebruaril 2027 lühendatakse sertifikaatide kehtivusaega 64 päevani, ning 16. veebruaril 2028 — 45 päevani. Valikuline võimalus saada 45-päevaseid sertifikaate tuleb 13. mail 2026.

Samas lühendatakse järk-järgult ka autoriseerimise kehtivusaega — 10. veebruaril 2027 lühendatakse see 30 päevalt 10 päevale, ning 16. veebruaril 2028 — 10 päevalt 7 tunnile. Autoriseerimise kehtivusaeg on aeg, mille jooksul saab sertifikaati välja anda ilma korduvate kontrollideta pärast õiguste kinnitamist. domeeni, mille jooksul sertifikaati saab välja anda ilma korduvate kontrollideta. Pärast selle ajavahemiku lõppemist on vajalik uuesti õiguste kinnitamine.

Sertifikaatide kehtivuse lühendamise põhjuseks on uusi nõudeid, millele CA/Browser Forum nõuab, et järgiksid brauserite tootjad ja sertifitseerimiskeskused. Samasugune kehtivuse lühendamine rakendatakse kõigi sertifitseerimiskeskuste poolt. CA/Browser Forum on kehtestanud rakendamise lõpptähtajaks märtsi 2029 ja maksimaalse sertifikaadi kehtivuse ajaks — 47 päeva. Pärast märtsi 2029. aastat toovad uute sertifikaatide töötlemine, mille kehtivusaeg ületab 47 päeva, brauserites esile veateate „ERR_CERT_VALIDITY_TOO_LONG“.

Lühiajaliste sertifikaatide kasutamise eeliste hulka kuulub võimalus lühendada uute krüptoalgoritmide rakendamise aega juhul, kui praegustes sertifikaatides avastatakse haavatavusi, samuti turvalisuse suurenemine. Näiteks võib lühiajaliste sertifikaatide korral bannerite langemise tõttu vähendada kurjategijate võimet pikka aega ohvri liiklust juhtida või kasutada sertifikaate vahetustegevuseks. Domeeni omandi kontrollimise sagedasema kontrollimise ning sertifikaatide kehtivusaja lühendamisega väheneb ka tõenäosus, et sertifikaat jätkab kehtimist pärast sisalduva teabe aegumist ning väheneb vale väljastatud sertifikaatide leviku risk.

Seoses Let's Encrypt sertifikaatide kehtivusaja lühenemisega soovitab ettevõte kasutajatel mitte uuendada sertifikaate käsitsi, vaid liikuda automaatsete sertifikaadihalduse süsteemide juurde. Samuti peavad kasutajad, kes juba kasutavad automatiseeritud süsteeme, veenduma, et nende tööristad toetavad õigesti lühenenud kehtivusajaga sertifikaate. Sertifikaatide õigeaegse automaatse uuendamise koordineerimiseks saavad administraatorid kasutada ARI (ACME Renewal Information) protokolli laiendust, mis võimaldab saada teavet sertifikaatide uuendamise vajaduse kohta ja valida optimaalse aja uuendamiseks. Samuti on mõistlik seadistada jälgimissüsteem, et tuvastada olukordi, kus sertifikaati ei ole õigeaegselt uuendatud.

Domeeni õiguste kinnitamise lihtsustamiseks plaanib projekt Let’s Encrypt 2026. aastal tutvustada uut DNS-PERSIST-01 kontrollimeetodit, mis erinevalt HTTP-01 ja DNS-01 meetoditest ei nõua info värskendamist iga kontrolli korral ning ei eelda ACME kliendi juurdepääsu veebiinfrastruktuurile või DNS-serverile. PERSIST-01 puhul on piisav, kui lisada DNS-i ühekordne TXT-kirje (‘_validation-persist.example.com. IN TXT („ca.example;“ „ accounturi=https://ca.example/acct/123″)’) ja ACME klient saab autoriseerimist teostada ilma DNS-i andmete värskendamiseta.

Allikas: opennet.ru