A Chromium projekt fejlesztői módosítást hajtottak végre, amely maximális élettartamot állít be a TLS tanúsítványok számára 398 napra (13 hónap).

Ez a feltétel minden nyilvános kiszolgáló tanúsítványra vonatkozik, amelyet 2020. szeptember 1. után adtak ki. Ha a tanúsítvány nem felel meg ennek a szabálynak, a böngésző érvénytelennek fogja tekinteni, és konkrétan a következő hibával válaszol: ERR_CERT_VALIDITY_TOO_LONG.

A 2020. szeptember 1. előtt kapott tanúsítványok megbecsülése megmarad és 825 napra korlátozódik (2,2 év), mint ma.

Korábban a tanúsítványok maximális élettartamának korlátozását a Firefox és Safari böngészők fejlesztői vezették be. A módosítás szintén szeptember 1-jén lép életbe..

Ez azt jelenti, hogy azok a weboldalak, amelyek hosszú élettartamú SSL/TLS tanúsítványokat használnak, amelyeket a határidő után adtak ki, adatvédelmi hibákat fognak kiadni a böngészőkben.

Az új politikát elsőként az Apple jelentette be a CA/Böngésző fórumban 2020 februárjában.Az új szabály bevezetésével az Apple megígérte, hogy az összes iOS és macOS eszközön alkalmazni fogja. Ez nyomást gyakorol a weboldalak adminisztrátoraira és a fejlesztőkre, hogy tanúsítványaik megfeleljenek a követelményeknek.

A tanúsítványok élettartamának csökkentését már hónapok óta vitatja az Apple, a Google és a CA/Böngésző más résztvevői. Ennek a politikának vannak előnyei és hátrányai.

Ennek a lépésnek a célja, hogy növelje a weboldal biztonságát azáltal, hogy biztosítja, hogy a fejlesztők a legújabb kriptográfiai szabványokkal rendelkező tanúsítványokat használjanak, és csökkenti a régi, elfeledett tanúsítványok számát, amelyek potenciálisan ellophatók és phishinghez, illetve drive-by rosszindulatú támadásokhoz újra felhasználhatók. Ha a támadók képesek áttörni az SSL/TLS szabvány kriptográfiáját, a rövid élettartamú tanúsítványok lehetővé teszik az emberek számára, hogy körülbelül egy éven belül biztonságosabb tanúsítványokra váltsanak.

A tanúsítványok érvényességi idejének csökkentése bizonyos hátrányokkal jár. Megfigyelték, hogy a tanúsítványok gyakoriságának növelésével az Apple és más cégek kissé megnehezítik az életet a weboldal tulajdonosai és azok számára, akiknek a tanúsítványokat és a megfelelőséget kell kezelniük.

Másrészt, a Let’s Encrypt és más tanúsítványközpontok ösztönzik a webmestereket az automatizált eljárások bevezetésére a tanúsítványok megújításához. Ez csökkenti az emberi munkaerő költségeit és a hibák kockázatát a tanúsítványok gyakori cseréje során.

Mint ismeretes, a Let’s Encrypt ingyenes HTTPS-tanúsítványokat ad ki, amelyek 90 napon belül lejárnak, és eszközöket biztosít a megújítás automatizálásához. Így ez a tanúsítvány még jobban illeszkedik az általános infrastruktúrába – ahogy a böngészők korlátozzák a maximális érvényességi időt.

Ezt a módosítást a CA/Browser Forum tagjai szavazásra bocsátották, de a döntés nem lett megerősítve a tanúsítványkiadó központok közötti dészerintelt verseny.

Eredmények

A tanúsítványkiadók szavazása

Igen (11 szavazat): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (korábban Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Nem (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (korábban Trustwave)
Tartózkodtak (2): HARICA, TurkTrust