Članovi udruge CA/Browser Forum, koja služi kao platforma za koordinaciju suradnje proizvođača web preglednika i certifikacijskih tijela, glasali su za smanjenje maksimalnog trajanja TLS certifikata. Maksimalno trajanje TLS certifikata bit će smanjeno s 398 na 47 dana, osim ako CA/Browser Forum ne preispita donesenu odluku. Osim trajanja certifikata, odlučeno je također znatno skratiti rokove ponovne upotrebe podataka o validaciji objekata: za SAN (Subject Alternative Name, kada jedan certifikat pokriva više resursa, na primjer, djeluje za više domena) rok će biti skraćen s 398 na 10 dana, a za ne-SAN — s 825 na 398 dana.
Promjenu namjeravaju postupno uvoditi: počevši od 15. ožujka 2026. godine, maksimalni rok trajanja TLS certifikata bit će smanjen na 250 dana, od 15. ožujka 2027. — na 100 dana, a od ožujka 2029. — na 47 dana. Nakon svakog koraka, obrada novih certifikata koji ne udovoljavaju spomenutim kriterijima rezultirat će prikazivanjem greške 'ERR_CERT_VALIDITY_TOO_LONG' u preglednicima. Ranije su proizvođači preglednika uspjeli izboriti postupno smanjenje trajanja certifikata s 8 godina na 398 dana (13 mjeseci).
Za novo smanjenje trajanja TLS certifikata glasalo je 29 sudionika, 6 se suzdržalo, a nitko nije glasao protiv. Sudionici koji su glasali 'za': Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Sudionici koji su se suzdržali: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.
Pretpostavlja se da će generacija kratkoročnih certifikata omogućiti bržu implementaciju novih kriptoalgoritama u slučaju otkrivanja ranjivosti u postojećim, kao i smanjiti prijetnje sigurnosti. Na primjer, u slučaju neprimjetnog curenja certifikata uslijed provale, kratkoročni certifikati će spriječiti napadače da dugo vremena kontroliraju promet žrtve ili koriste certifikate za phishing. Česće validacije i skraćenje trajanja certifikata također će smanjiti vjerojatnost da certifikat ostane važeći nakon gubitka relevantnosti informacija koje sadrži i smanjiti rizik od širenja pogrešno izdanih certifikata.
Osim toga, kratkoročni certifikati će postati poticaj za uvođenje automatskih sustava za upravljanje certifikatima, oslobođenih ljudskog faktora. Ipak, ukidanje prakse ručnog ažuriranja certifikata može dovesti do negativnih posljedica. Ističe se da neka uređaj dopuštaju učitavanje certifikata samo u ručnom režimu, te mogu ostati s nevažećim certifikatima zbog složenosti organiziranja ručnih ažuriranja svaka dva i pol mjeseca. Promjena također može negativno utjecati na poslovanje certifikacijskih centara koje ne nude API za automatsko dobivanje certifikata.
Izvor: opennet.ru
