TLS-sertifikaatide maksimaalne kehtivusaeg vähendatakse 398 päevalt 47 päevale

CA/Browser Forum'i liikmed, kes on platvorm koostöö koordineerimiseks brauseritootjate ja sertifitseerimiskeskuste vahel, hääletasid TLS-sertifikaatide maksimaalse kehtivusaja vähendamise poolt. TLS-sertifikaatide maksimaalne kehtivusaeg väheneb 398 päeva pealt 47 päevale, kui CA/Browser Forum ei muuda edaspidi oma otsust. Lisaks sertifikaatide kehtivuse ajale otsustati oluliselt vähendada ka objekti valideerimise andmete taaskasutamise tähtaegu: SAN-i (Subject Alternative Name, kui üks sertifikaat katab mitmeid ressursse, näiteks kehtib mitme domeeni jaoks) puhul väheneb tähtaeg 398 päevalt 10 päevale ja mitte-SAN-i puhul 825 päevalt 398 päevale.

Muudatust kavatsetakse edendada järk-järgult: alates 15. märtsist 2026 väheneb maksimaalne kehtivusaeg TLS-sertifikaatide 250 päevani, alates 15. märtsist 2027 100 päevani ja alates märtsist 2029 47 päevani. Iga etapi saavutamise järel toob uute sertifikaatide töötlemine, mis ei vasta nimetatud kriteeriumidele, brauserites esile vea "ERR_CERT_VALIDITY_TOO_LONG". Varasemalt suutsid brauseritootjad saavutada järkjärgulise kehtivusaja vähendamise 8 aastalt 398 päevani (13 kuud).

TLS-sertifikaatide kehtivusaja uue vähendamise poolt hääletas 29 liiget, 6 jäid erapooletuks ja keegi ei hääletanud vastu. Hääletamise poolt olid: Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Erapooletuks jäid: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.

Lühiajaliste sertifikaatide genereerimine peaks võimaldama uusi krüptograafilisi algoritme kiiremini kasutusele võtta juhtudel, kui praegu kehtivates sertifikaatides avastatakse haavatavusi, ning vähendama turvaohtu. Näiteks, kui sertifikaadi lekkimine juhtub märkamatult häkkeri tõttu, takistavad lühiajalised sertifikaadid kurjategijatel pikka aega ohvri liiklust kontrollida või sertifikaate kalastamiseks kasutada. Sageli toimuv valideerimine ja sertifikaatide kehtivusaja lühendamine vähendavad ka tõenäosust, et sertifikaat jääb kehtima pärast info aegumist, ja vähendavad valesti väljastatud sertifikaatide leviku riski.

Lisaks sellele saavad lühiajalised sertifikaadid olema stiimuliks sertifikaatide haldamise automaatsete süsteemide juurutamiseks, mis on vabad inimfaktorist. Kuid sertifikaatide käsitsi uuendamise praktika kaotus võib põhjustada ka negatiivseid tagajärgi. Märgitakse, et mõned seadmed, mis lubavad sertifikaatide allalaadimist ainult käsitsi, võivad jääda kehtetute sertifikaatide juurde, kuna käsitsi uuendamise korraldamine iga poolteise kuu tagant on keeruline. Muudatus võib samuti negatiivselt mõjuda sertifitseerimiskeskuste äritegevusele, kes ei paku API-d automaatsete sertifikaatide saamiseks.

Allikas: opennet.ru