Il 26 luglio 2019, Google per ridurre il massimo periodo di validità dei certificati server SSL/TLS dagli attuali 825 giorni a 397 giorni (circa 13 mesi), cioè quasi della metà. Google sostiene che solo la completa automazione delle operazioni sui certificati possa risolvere i problemi di sicurezza che sono spesso spiegati dal fattore umano. Pertanto, in ideale, bisognerebbe puntare all'emissione automatizzata di certificati a breve termine.
La questione è stata votata nell'organizzazione CA/Browser Forum (CABF), che stabilisce i requisiti per i certificati SSL/TLS, incluso il massimo periodo di validità.
E il 10 settembre : i membri del consorzio hanno votato contro la proposta.
Risultati
Votazione degli emittenti di certificati
A favore (11 voti): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (ex Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Contro (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (ex Trustwave)
Astenuti (2): HARICA, TurkTrust
Votazione dei consumatori di certificati
A favore (7): Apple, Cisco, Google, Microsoft, Mozilla, Opera, 360
Contro: 0
Astenuti: 0
Secondo le regole del CA/Browser Forum, per una decisione positiva devono votare due terzi degli emittenti di certificati e il 50% più uno tra i consumatori.
I rappresentanti di Digicert per aver saltato il voto, dove avrebbero espresso il loro voto a favore della riduzione del periodo di validità dei certificati. Hanno sottolineato che per alcuni clienti la riduzione del periodo di validità può rappresentare un problema, ma a lungo termine offre vantaggi per la sicurezza.
In ogni caso, l'industria non è ancora pronta a ridurre i periodi di validità dei certificati e a passare completamente a soluzioni automatizzate. Stessi i centri di certificazione possono offrire tali servizi, ma molti clienti non hanno ancora adottato l'automazione. Pertanto, la riduzione del periodo a 397 giorni è attualmente rinviata. Ma la questione rimane aperta.
Ora Google potrebbe tentare di implementare lo standard "forzatamente", come è successo con il protocollo . Tanto più che è sostenuto anche da altri sviluppatori: Apple, Microsoft, Mozilla e Opera.
Ricordiamo che la completa automazione è uno dei principi su cui si basa il funzionario centro di certificazione non profit Let’s Encrypt. Esso rilascia certificati gratuiti a chiunque, ma il massimo periodo di vita del certificato è limitato a 90 giorni. I brevi periodi di vita dei certificati hanno :
- la limitazione dei danni da chiavi compromesse e certificati emessi erroneamente, poiché vengono utilizzati per un periodo di tempo più breve;
- I certificati a breve termine supportano e promuovono l'automazione, che è assolutamente necessaria per semplificare l'uso di HTTPS. Se vogliamo migrare l'intero web su HTTPS, non possiamo aspettarci che l'amministratore di ogni sito esistente aggiorni manualmente i certificati. Una volta che l'emissione e gli aggiornamenti dei certificati saranno completamente automatizzati, periodi di validità più brevi diventeranno ancor più comodi e pratici.
ha mostrato che il 73,7% degli intervistati «è piuttosto favorevole» alla riduzione della durata dei certificati.
Per quanto riguarda la rimozione dell'icona EV per i certificati SSL dalla barra degli indirizzi, il consorzio non ha votato su questa questione, poiché la questione dell'interfaccia utente dei browser è completamente nelle mani degli sviluppatori. A settembre-ottobre verranno rilasciate nuove versioni di Chrome 77 e Firefox 70, che toglieranno ai certificati EV uno status speciale nella barra degli indirizzi del browser. Ecco come appare la modifica nell'esempio della versione desktop di Firefox 70:
Era:
Sarà:
Secondo l'esperto di sicurezza Troy Hunt, la rimozione delle informazioni EV dalla barra degli indirizzi dei browser .
Fonte: habr.com
