Let's Encrypt vähendab sertifikaatide kehtivusaega 45 päevani

Mitteametatud digitaalne sertifitseerimise keskuse Let’s Encrypt teatas, et ta kavatseb järk-järgult vähendada antavate TLS-sertifikaatide kehtivusperioodi 90 päevalt 45 päevani. Alates 10. veebruarist 2027 lüheneb sertifikaatide kehtivusaeg 64 päevani ja alates 16. veebruarist 2028 45 päevani. Volitus saada sertifikaate, mis kehtivad 45 päeva, saabub 13. maina 2026.

Samas vähendatakse järk-järgult ka autentimise kehtivusperioodi — alates 10. veebruarist 2027 lüheneb see 30 päevalt 10 päevani ja 16. veebruarist 2028 10 päevalt 7 tunnini. Autentimise kehtivusperiood mõistetakse ajana pärast õiguste kinnitamist. domeen, mil jooksul võib sertifikaat olla välja antud ilma korduvate kontrollide läbimiseta. Kui see aeg möödub, on vajalik uue õiguste kinnitamine.

Sertifikaatide kehtivusaja vähendamisest on põhjustanud CA/Browser Forum uued nõuded, millest peavad kinni pidama brauserite tootjad ja sertifitseerimise keskused. Sarnane kehtivusaja vähendamine viiakse ellu kõigis sertifitseerimise keskustes. CA/Browser Forum määras tähtaeg, et kõik muudatused peavad olema ellu viidud märtsiks 2029 ja maksimaalne sertifikaadi kehtivusaeg on 47 päeva. Pärast märtsi 2029 tõotavad uute sertifikaatide töötlemisel, mille kehtivusaeg ületab 47 päeva, tekkida vead «ERR_CERT_VALIDITY_TOO_LONG».

Lühiajaliste sertifikaatide kasutuselevõtu eeliste hulka kuulub uute krüptoalgoritmide kiire juurutamine, kui praegustes avastatakse haavatavusi, ning suurem turvalisus. Näiteks, kui sertifikaat lekib märkamatult häkkimise tõttu, takistavad lühiajalised sertifikaadid kurjategijatel pikka aega ohvri liiklust kontrollida või sertifikaate phishing'uks kasutada. Domeeni omandi sagedasem kontroll ja sertifikaatide kehtivusperioodi lühendamine vähendavad ka tõenäosust, et sertifikaadid jäävad kehtima pärast nende teabe aegumist ning vähendavad valeväljastatud sertifikaatide levimise riski.

Seoses Let's Encrypt'i sertifikaatide kehtivusaja lühendamisega on soovitatud kasutajatel mitte värskendada sertifikaate käsitsi, vaid minna üle automaatsetele sertifikaadihalduse süsteemidele. Samuti peavad juba automatiseeritud süsteeme kasutavad kasutajad veenduma, et nende tööriistad toetavad õigesti lühendatud kehtivusajaga sertifikaate. Sertifikaatide õigeaegse automaatse värskendamise koordineerimiseks saavad administraatorid kasutada protokolli ARI (ACME Renewal Information) laiendust, mis võimaldab saada teavet sertifikaatide värskendamise vajaduse kohta ja valida optimaalse aja uuendamiseks. Samuti on mõistlik seadistada jälgimissüsteem olukordade tuvastamiseks, kus sertifikaati ei ole õigeaegselt värskendatud.

Domaani õiguste kinnitamise lihtsustamiseks plaanib Let's Encrypt 2026. aastal juurutada uue DNS-PERSIST-01 kontrollimise meetodi, mis erineb HTTP-01 ja DNS-01 meetoditest, kuna see ei nõua teabe värskendamist igas kontrollis ja ACME-kliendil ei pea olema juurdepääsu veebiinfrastruktuurile ega DNS-serverile. PERSIST-01 puhul on piisav, kui lisada DNS-i ühekordselt teatud TXT-kirje (’_validation-persist.example.com. IN TXT (“ca.example;” “accounturi=https://ca.example/acct/123”)’) ja ACME-kliendil on võimalik autorisatsiooni läbi viia ilma DNS-i andmete värskendamiseta.

Allikas: opennet.ru