26. juuli 2019. aastal teatas Google ettepanek vähemalt vähendada SSL/TLS serveri sertifikaatide maksimaalset kehtivusaega praegustelt 825 päevalt 397 päevani (umbes 13 kuud), mistõttu on see peaaegu poole vähem. Google arvab, et ainult täielik sertifikaatide automatiseerimine suudab kõrvaldada praegused turvaprobleemid, mida tihti seletatakse inimfaktoriga. Seetõttu on ideaalne püüelda automatiseeritud lühikese kehtivusajaga sertifikaatide väljastamise poole.

Küsimus viidi hääletusele CA/Browse Forum'is (CABF), mis seab nõudeid SSL/TLS sertifikaatidele, sealhulgas maksimaalsele kehtivusajale.

Ja 10. septembril kuulutati tulemused: konsortsiumi liikmed hääletasid vastu ettepaneku poolt.

Tulemused

Sertifikaatide väljaandjate hääletus

Jah (11 häält): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (endine Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Vastu (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (endine Trustwave)
Vääratas (2): HARICA, TurkTrust

Tarbijate sertifikaatide hääletus

Jah (7): Apple, Cisco, Google, Microsoft, Mozilla, Opera, 360
Vastu: 0
Olen vaikimisi: 0

CA / Browser Foorumi reeglite kohaselt peab positiivse otsuse vastuvõtmiseks hääletama kaks kolmandikku sertifikaatide väljaandjatest ja 50% pluss üks hääl tarbijate seast.

Digicerti esindajad vabandavad hääletamise vahelejätmise pärast, kus nad oleksid oma hääle andnud sertifikaatide kehtivusaja lühendamise poolt. Nad märkivad, et mõnedel klientidel võib kehtivusaja lühendamine esindada probleemide tekitamist, kuid pikaajalises plaanis toob see turvalisuse eeliseid.

Nii või teisiti, aga tööstus ei ole veel valmis sertifikaatide kehtivusaja lühendamiseks ja täielikuks automatiseeritud lahenduste kasutuselevõtuks. Sertifikaatide väljaandvad keskused võivad selliseid teenuseid pakkuda, kuid paljud kliendid pole veel automatiseerimist rakendanud. Seetõttu lükatakse kehtivuse vähendamine 397 päevani edasi. Kuid küsimus jääb avatuks.

Nüüd võib Google proovida standardit 'sundida' nagu see oli protokolli puhul Certificate Transparency. Eriti kuna seda toetavad ka teised arendajad: Apple, Microsoft, Mozilla ja Opera.

Tulet meelde, et täielik automatiseerimine on üks põhimõtteid, millele toetub mittetulunduslik sertifitseerimiskeskus Let’s Encrypt. See väljastab tasuta sertifikaate kõigile soovijatele, kuid sertifikaadi maksimaalne kehtivusaeg on piiratud 90 päevaga. Sertifikaatide lühikesed kehtivusajad pakuvad kaht peamist eelised:

kahjude piiramine compromiteeritud võtmetest ja valesti väljastatud sertifikaatidest, kuna neid kasutatakse lühemat aega;
lühiajalised sertifikaadid toetavad ja soodustavad automatiseerimist, mis on täiesti vajalik HTTPS-i kasutamise lihtsuse tagamiseks. Kui me kavatseme kogu maailmas veebi üle viia HTTPS-ile, ei saa kindlasti oodata, et iga olemasoleva saidi administraator värskendab sertifikaate käsitsi. Kui sertifikaatide väljastamine ja uuendamine saab täielikult automatiseeritud, muutuvad lühemad kehtivusajad vastupidi veelgi mugavamaks ja praktilisemaks.

GlobalSign'i uuring Habr's näitas, et 73,7% vastajatest „pigem toetavad” sertifikaatide kehtivusaja lühendamist.

Mis EV-sertifikaatide ikooni peitmine aadressiribal puudutab, siis selle küsimuse üle ei hääletanud konsortsiumi liikmed, kuna brauserite UI-de küsimus on täielikult arendajate pädevuses. Uued versioonid Chrome 77 ja Firefox 70 tulevad välja septembris-oktoobris, mis eemaldavad EV-sertifikaatidelt aadressiribal erilise koha. Nii näeb muutus välja Firefox 70 töölauaversiooni näitel:

Oli:

Saab olema: