Neprofitni certifikacijski centar Let’s Encrypt, koji kontrolira zajednica i daje certifikate besplatno svima zainteresiranima, najavio je odluku da postupno skraćuje rok valjanosti izdanih TLS certifikata s 90 na 45 dana. Dana 10. veljače 2027. godine, rok valjanosti certifikata će se smanjiti na 64 dana, a 16. veljače 2028. godine na 45 dana. Opcionalna mogućnost dobivanja certifikata koji vrijede 45 dana bit će dostupna od 13. svibnja 2026. godine.
Istodobno će se postupno smanjivati razdoblje valjanosti autorizacije — 10. veljače 2027. godine, ono će se skratiti s 30 na 10 dana, a 16. veljače 2028. godine — s 10 dana na 7 sati. Pod razdobljem valjanosti autorizacije podrazumijeva se vrijeme nakon potvrde prava na domen, tijekom kojeg se certifikat može izdati bez ponovnog prolaska provjera. Nakon isteka ovog vremena potrebno je novo posvjedočenje prava.
Kao razlog skraćivanja roka valjanosti certifikata navode se novi zahtjevi asocijacije CA/Browser Forum, kojih se moraju pridržavati proizvođači preglednika i certifikacijski centri. Slično skraćivanje roka valjanosti bit će implementirano od svih certifikacijskih centara. CA/Browser Forum je odredio krajnji rok za završetak implementacije za ožujak 2029. godine, dok će maksimalno vrijeme trajanja certifikata iznositi 47 dana. Nakon ožujka 2029. godine, obrada u preglednicima novih certifikata čiji rok valjanosti prelazi 47 dana uzrokovat će grešku „ERR_CERT_VALIDITY_TOO_LONG”.
Među prednostima prelaska na kratkoročne certifikate ističe se mogućnost skraćivanja vremena implementacije novih kriptoalgoritama u slučaju otkrivanja ranjivosti u trenutno važećim, kao i povećana sigurnost. Na primjer, u slučaju neprimjetnog curenja certifikata uslijed napada, kratkoročni certifikati će onemogućiti napadačima dugotrajno kontroliranje prometa žrtve ili korištenje certifikata za phishing. Česća provjera vlasništva domene i skraćivanje roka valjanosti certifikata također će smanjiti vjerojatnost da certifikat nastavi biti važeći nakon gubitka relevantnosti sadržanih informacija i smanjiti rizik od širenja pogrešno izdanih certifikata.
Zbog skraćenja roka valjanosti certifikata, Let’s Encrypt preporučuje korisnicima da ne ažuriraju certifikate ručno, već da pređu na automatske sustave upravljanja certifikatima. Korisnici koji već koriste automatizirane sustave trebaju se uvjeriti da njihovi alati ispravno podržavaju certifikate sa skraćenim rokom valjanosti. Za koordinaciju pravovremenog automatskog ažuriranja certifikata, administratori mogu koristiti proširenje protokola ARI (ACME Renewal Information) koje omogućava dobivanje informacija o potrebi ažuriranja certifikata i odabir optimalnog vremena za ažuriranje. Također, ima smisla postaviti sustav praćenja za otkrivanje situacija kada certifikat nije pravovremeno ažuriran.
Kako bi se pojednostavilo potvrđivanje prava na domenu, projekt Let’s Encrypt planira uvesti novu metodu provjere DNS-PERSIST-01 2026. godine, koja, za razliku od metoda HTTP-01 i DNS-01, ne zahtijeva ažuriranje informacija prilikom svake provjere i ne zahtijeva da ACME klijent ima pristup web infrastrukturi ili DNS serveru. U PERSIST-01 je dovoljno jednom dodati određeni TXT zapis u DNS (‘_validation-persist.example.com. IN TXT ("ca.example;" "accounturi=https://ca.example/acct/123")’) i ACME klijent će moći provoditi autorizaciju bez ažuriranja podataka u DNS-u.
Izvor: opennet.ru
