A nem kereskedelmi Let’s Encrypt tanúsítványkibocsátó központ, amely közösségi irányítással működik és ingyenes tanúsítványokat biztosít mindenkinek, bejelentette, hogy fokozatosan csökkenti a kibocsátott TLS-tanúsítványok érvényességi idejét 90 napról 45 napra. 2027. február 10-től a tanúsítványok érvényessége 64 napra csökken, 2028. február 16-tól pedig 45 napra. Az opcionális lehetőség, hogy 45 napig érvényes tanúsítványokat kapjunk, 2026. május 13-án válik elérhetővé.
Egyidejűleg fokozatosan csökkentik az engedélyezési időszakot is — 2027. február 10-én 30 napról 10 napra, 2028. február 16-án pedig 10 napról 7 órára csökken. Az engedélyezési időszak alatt értjük azt az időt, amely alatt a tanúsítványt új ellenőrzés nélkül lehet kiadni, miután megerősítették a jogokat. domain, amely alatt a tanúsítványt új ellenőrzés nélkül lehet kiadni. E határidő lejártával új jogi megerősítés szükséges.
A tanúsítványok érvényességi idejének csökkentése mögött az CA/Browser Forum új követelményei állnak, amelyeket a böngészőgyártóknak és tanúsítványkibocsátóknak követniük kell. Hasonló változtatásokat minden tanúsítványkibocsátónak be kell vezetnie. Az CA/Browser Forum 2029 márciusa végéig határozta meg a bevezetés határidejét, a tanúsítványok maximális érvényességi ideje pedig 47 nap. 2029 márciusa után a böngészőkben a 47 napot meghaladó érvényességű új tanúsítványok feldolgozása „ERR_CERT_VALIDITY_TOO_LONG” hibát eredményez.
A rövid lejáratú tanúsítványokra való átállás előnyeként említik az új kriptográfiai algoritmusok bevezetési idejének csökkentését, ha a jelenlegi algoritmusokban sebezhetőséget fedeznek fel, valamint a biztonság fokozását. Például, ha a tanúsítvány észrevétlenül kiszivárog egy hackelés következtében, a rövid életű tanúsítványok megakadályozzák, hogy a támadók hosszú ideig ellenőrizzék az áldozat forgalmát vagy használják a tanúsítványokat csalásra. A domain-tulajdonjog gyakori ellenőrzése és a tanúsítványok érvényességi idejének csökkentése csökkenti annak valószínűségét is, hogy a tanúsítvány továbbra is érvényes marad, miután az abban található információk elavultak, és csökkenti a hibásan kibocsátott tanúsítványok terjedésének kockázatát.
A Let’s Encrypt tanúsítványok érvényességi idejének csökkentése miatt javasolja a felhasználóknak, hogy ne frissítsék a tanúsítványokat kézi módszerrel, hanem váltsanak automatikus tanúsítványkezelő rendszerekre. Azoknak a felhasználóknak, akik már alkalmaznak automatizált rendszereket, ellenőrizniük kell, hogy az eszközeik helyesen támogatják a csökkentett érvényességi idejű tanúsítványokat. A tanúsítványok időben történő automatikus megújításának koordinálása érdekében az adminisztrátorok az ARI (ACME Renewal Information) protokoll kiterjesztését használhatják, amely lehetővé teszi a tanúsítványok megújításának szükségességéről szóló információk megszerzését és az optimális megújítási időpont kiválasztását. Érdemes monitoring rendszert is beállítani az időben nem megújított tanúsítványok azonosítására.
A domainjogok megerősítésének egyszerűsítése érdekében a Let’s Encrypt projekt 2026-ban új DNS-PERSIST-01 ellenőrzési módszert kíván bevezetni, amely ellentétben a HTTP-01 és DNS-01 módszerekkel nem igényli az információk frissítését minden egyes ellenőrzéskor, és nem szükséges, hogy az ACME-klient hozzáférjen a web-infrastruktúrához vagy a DNS-szerverhez. A PERSIST-01 esetében elegendő egyszer hozzáadni a DNS-hez egy adott TXT-bejegyzést (‘_validation-persist.example.com. IN TXT (“ca.example;” “accounturi=https://ca.example/acct/123”)’), és az ACME-klient ezután tudja végezni az azonosítást anélkül, hogy frissítenie kellene az adatokat a DNS-ben.
Forrás: opennet.ru
