A CA/Browser Forum tagjai, akik a böngészőgyártók és a tanúsítványkiadók együttműködésének koordinálására szolgáló platformot alkotják, megszavazták a TLS-tanúsítványok maximális élettartamának csökkentését. A TLS-tanúsítványok maximális érvényességi ideje 398 napról 47 napra csökken, ha a CA/Browser Forum nem felülvizsgálja a meghozott döntést. A tanúsítványok érvényességi idején túl jelentősen csökkentik az objektumok validáló adatai újrafelhasználási idejét is: a SAN (Subject Alternative Name, amikor egy tanúsítvány több erőforrást is lefed, például több domainre érvényes) esetében az időtartam 398 napról 10 napra csökken, míg a nem-SAN esetén 825 napról 398 napra.
A változást fokozatosan kívánják előmozdítani: 2026. március 15-től kezdődően a maximális érvényességi idő TLS-tanúsítványok 250 napra csökken, 2027. március 15-től 100 napra, 2029 márciusától pedig 47 napra. Minden egyes szakasz után, ha új tanúsítványokat adnak ki, amelyek nem felelnek meg a fent említett kritériumoknak, a böngészőkben "ERR_CERT_VALIDITY_TOO_LONG" hibajelzés fog megjelenni. A böngészőgyártóknak korábban sikerült elérniük, hogy a tanúsítványok élettartamát 8 évről 398 napra (13 hónapra) csökkentsék.
A TLS-tanúsítványok élettartamának újabb csökkentését 29 résztvevő szavazta meg, 6 visszatartózkodott, és senki sem szavazott ellene. A támogatók között szerepel: Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. A visszatartózkodók között található: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.
A várakozások szerint a rövid élethosszú tanusítványok generálása lehetővé teszi az új kriptográfiai algoritmusok gyorsabb bevezetését, ha a jelenleg érvényes tanusítványokban sérülékenységek merülnek fel, valamint csökkenti a biztonsági fenyegetéseket. Például, ha egy tanusítvány észrevétlenül kiszivárog egy hackertámadás következtében, a rövid élethosszú tanusítványok megakadályozzák, hogy a támadók hosszú ideig ellenőrizzék az áldozat forgalmát vagy a tanusítványokat adathalászatra használják. A gyakoribb érvényesítés és a tanusítványok érvényességi idejének csökkentése szintén csökkenti annak valószínűségét, hogy a tanusítvány továbbra is érvényben maradhasson, miután az abban szereplő információk elavulttá váltak, és csökkenti a hibásan kiadott tanusítványok terjesztésének kockázatát.
Továbbá, a rövid élethosszú tanusítványok ösztönözni fogják az automatizált tanusítványkezelő rendszerek bevezetését, amelyek mentesek az emberi tényezőktől. Ezenkívül az manuális tanusítványfrissítési gyakorlat megszűnése negatív következményekkel is járhat. Megjegyzik, hogy néhány eszköz, amelyek csak manuálisan engedélyezik a tanusítványok betöltését, érvénytelen tanusítványokkal maradhatnak, mivel a másfél havonta esedékes manuális frissítések nehézkes megszervezése miatt. A változtatás negatívan befolyásolhatja az olyan tanúsítványkiadó központokat is, amelyek nem biztosítanak API-t az automatikus tanúsítványbeszerzéshez.
Forrás: opennet.ru
