Gli sviluppatori del progetto Chromium è stata apportata una modifica, che stabilisce il termine massimo di validità dei certificati TLS in 398 giorni (13 mesi).

La condizione si applica a tutti i certificati server pubblici rilasciati dopo il 1 settembre 2020. Se il certificato non rispetta questa regola, il browser lo rifiuterà come non valido, rispondendo specificamente con l'errore ERR_CERT_VALIDITY_TOO_LONG.

Per i certificati ricevuti prima del 1 settembre 2020, la fiducia sarà mantenuta e limitata a 825 giorni (2,2 anni), come accade oggi.

In precedenza, una limitazione sul termine massimo dei certificati è stata introdotta dagli sviluppatori dei browser Firefox e Safari. Anche questa modifica entrerà in vigore il 1 settembre.

Ciò significa che i siti web che utilizzano certificati SSL/TLS con una lunga durata, emessi dopo la scadenza, genereranno errori di privacy nei browser.

Apple ha annunciato per prima la nuova politica durante una riunione del forum CA/Browser a febbraio 2020. Implementando la nuova regola, Apple ha promesso di applicarla su tutti i dispositivi iOS e macOS. Questo metterà pressione sugli amministratori dei siti web e sugli sviluppatori affinché i loro certificati siano conformi ai requisiti.

La riduzione della durata dei certificati è stata discussa per diversi mesi da Apple, Google e altri membri di CA/Browser. Questa politica ha i suoi vantaggi e svantaggi.

L'obiettivo di questo passo è aumentare la sicurezza del sito web, assicurandosi che gli sviluppatori utilizzino certificati con i più recenti standard crittografici, e ridurre il numero di certificati vecchi e dimenticati che potrebbero essere rubati e riutilizzati per attacchi di phishing e attacchi malevoli da drive-by. Se i malintenzionati riescono a violare la crittografia dello standard SSL/TLS, i certificati a breve termine garantiranno che gli utenti passino a certificati più sicuri circa un anno dopo.

La riduzione della validità dei certificati presenta alcuni svantaggi. È stato notato che aumentando la frequenza di sostituzione dei certificati, Apple e altre aziende complicano un po' la vita ai proprietari dei siti web e alle aziende che devono gestire certificati e conformità.

D'altra parte, Let’s Encrypt e altri centri di certificazione incoraggiano i web master a implementare procedure automatizzate per l'aggiornamento dei certificati. Questo riduce i costi operativi umani e il rischio di errori man mano che aumenta la frequenza di sostituzione dei certificati.

Come è noto, Let’s Encrypt emette certificati HTTPS gratuiti, la cui validità scade dopo 90 giorni, e fornisce strumenti per automatizzare il rinnovo. Quindi ora questi certificati si inseriscono ancora meglio nell'infrastruttura generale, poiché i browser impostano un limite sulla durata massima di validità.

Questa modifica è stata sottoposta a voto dai membri dell'associazione CA/Browser Forum, ma la decisione non è stata approvata a causa del disaccordo tra i centri di certificazione.

Risultati

Votazione degli emittenti di certificati

A favore (11 voti): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (ex Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Contro (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (ex Trustwave)
Astenuti (2): HARICA, TurkTrust