26. juulil 2019 teatas Google ettepanekust lühendada SSL/TLS serverisertifikaatide maksimaalset kehtivusaega praegustelt 825 päevalt 397 päevani (umbes 13 kuud), mis on ligikaudu poole vähem. Google usub, et ainult täielik automatiseerimine sertifikaatidega seotud toimingutes võimaldab vabaneda olemasolevatest turvaprobleemidest, mida sageli seletatakse inimfaktoritega. Seetõttu on ideaalne püüdleda automatiseeritud lühikese kehtivusajaga sertifikaatide väljastamise poole.

Küsimus pandi hääletusele CA/Browser Forum organisatsioonis (CABF), mis kehtestab nõuded SSL/TLS-sertifikaatidele, sealhulgas ka maksimaalsele kehtivusele.

Ja 10. septembril teatati tulemustest: konsortsiumi liikmed hääletasid vastu ettepanekule.

tulemused näitasid ainult nelja ebaolulise koodibloki kattuvust, mis olid tingitud POSIX ja ANSI C nõuetest.

Sertifikaatide väljaandjate hääletus

Jah (11 häält): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (endine Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com

Vastu (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (endine Trustwave)

Vältinud (2): HARICA, TurkTrust

Sertifikaatide tarbijate hääletus

Jah (7): Apple, Cisco, Google, Microsoft, Mozilla, Opera, 360

Vastu: 0

Vältinud: 0

CA/Browser Forum reeglite kohaselt peab positiivse otsuse tegemiseks hääletama kaks kolmandikku sertifikaatide väljaandjatest ja 50% plus üks hääl tarbijate seas.

Digicerti esindajad avaldasid kahetsust hääletuse vahelejäämise pärast, kus nad oleksid hääletanud sertifikaatide kehtivusaja lühendamise poolt. Nad märgivad, et mõne kliendi jaoks võib kehtivusaja lühendamine olla probleemiks, kuid pikaajalises perspektiivis toob see turvalisuse eeliseid.

Nii või naa, ent tööstus ei ole veel valmis sertifikaatide kehtivusaega lühendama ja täielikult automatiseeritud lahendustele üle minema. Sertifitseerimiskeskused võivad selliseid teenuseid pakkuda, kuid paljud kliendid ei ole veel automatiseerimist rakendanud. Seetõttu lükatakse ajavahemiku lühendamine 397 päevani edasi. Kuid küsimus jääb avatuks.

Nüüd võib Google proovida standardit "sundida" rakendama, nagu see toimus protokolliga Certificate Transparency. Eriti, kuna seda toetavad ka teised arendajad: Apple, Microsoft, Mozilla ja Opera.

Tuletame meelde, et täielik automatiseerimine on üks põhimõtteid, millele tugineb mittetulunduslik sertifitseerimiskeskus Let’s Encrypt. See väljastab tasuta sertifikaate kõigile soovijatele, kuid sertifikaadi maksimaalne kehtivusaeg on piiratud 90 päevaga. Sertifikaatide lühike kehtivusaeg toob endaga kaasa kaks peamist eelist:

1. kahjustuste piiramise kompromiteeritud võtmete ja valesti väljastatud sertifikaatide osas, kuna neid kasutatakse lühema ajavahemiku jooksul;
2. lühikese kehtivusajaga sertifikaadid toetavad ja soodustavad automatiseerimist, mis on absoluutne vajadus HTTPS-i kasutamise lihtsustamiseks. Kui me kavatseme üle viia kogu World Wide Web'i HTTPS-ile, ei saa oodata, et igas olemasolevas saidis on administraator, kes käsitsi sertifikaate uuendab. Niipea kui sertifikaatide väljastamine ja uuendamine muutub täielikult automatiseerituks, muutuvad lühemad kehtivusajad vastupidiselt mugavamaks ja praktilisemaks.

GlobalSign'i küsitlus Habras näitas, et 73,7% vastanuist «toetaks pigem» sertifikaatide kehtivusaja lühendamist.

Mis puudutab EV-sertifikaatide ikooni peitmist aadressireal, siis selle küsimuse osas konsorsium ei hääletanud, kuna brauserite kasutajaliidese küsimus jääb täielikult arendajate pädevusse. Septembris ja oktoobris ilmuvad uued versioonid Chrome 77 ja Firefox 70, mis eemaldavad EV-sertifikaatidelt erilise koha brauseri aadressirealt. Nii näeb välja muudatus näiteks Firefox 70 lauaversioonis:

Oli:

Saab olema:

Turbeekspert Troy Hanti arvates tähendab EV-info eemaldamine brauserite aadressirivist see sisuliselt EV-sertifikaatide mahamatmist.

Allikas: habr.com