Il centro di certificazione senza scopo di lucro Let’s Encrypt, controllato dalla comunità e che offre certificati gratuitamente a chi lo desidera, ha annunciato la decisione di ridurre gradualmente la validità dei certificati TLS emessi da 90 a 45 giorni. Il 10 febbraio 2027 la validità dei certificati sarà ridotta a 64 giorni, mentre il 16 febbraio 2028 sarà ridotta a 45 giorni. La possibilità opzionale di ottenere certificati con una validità di 45 giorni sarà disponibile dal 13 maggio 2026.
Contemporaneamente, il periodo di validità dell'autorizzazione sarà ridotto gradualmente: il 10 febbraio 2027 sarà ridotto da 30 a 10 giorni, mentre il 16 febbraio 2028 da 10 giorni a 7 ore. Per periodo di validità dell'autorizzazione si intende il tempo dopo la conferma dei propri diritti su dominio, durante il quale il certificato può essere emesso senza dover effettuare nuovamente le verifiche. Dopo la scadenza di questo periodo, è necessaria una nuova conferma dei diritti.
Come motivo per la riduzione della validità dei certificati vengono citati i nuovi requisiti dell'associazione CA/Browser Forum, cui devono attenersi i produttori di browser e i centri di certificazione. Una riduzione simile della validità sarà implementata da tutti i centri di certificazione. Il CA/Browser Forum ha fissato la scadenza per l'implementazione a marzo 2029, mentre il periodo massimo di validità del certificato sarà di 47 giorni. Dopo marzo 2029, il trattamento nei browser di nuovi certificati la cui validità supera i 47 giorni porterà a errori come "ERR_CERT_VALIDITY_TOO_LONG".
Tra i vantaggi della transizione a certificati a breve termine si evidenzia la possibilità di accelerare l'introduzione di nuovi algoritmi crittografici in caso di individuazione di vulnerabilità in quelli attualmente in vigore, nonché di migliorare la sicurezza. Ad esempio, in caso di fuga non rilevata del certificato a causa di un attacco, i certificati a breve termine impediranno ai malintenzionati di controllare a lungo il traffico della vittima o di utilizzare i certificati per attività di phishing. Un controllo più frequente della proprietà del dominio e la riduzione della validità dei certificati diminuiranno anche la probabilità che un certificato continui a essere valido dopo la perdita di rilevanza delle informazioni in esso contenute e ridurranno il rischio di diffusione di certificati emessi in modo errato.
A causa della riduzione della durata dei certificati, Let's Encrypt ha consigliato agli utenti di non aggiornare i certificati manualmente, ma di passare a sistemi automatici di gestione dei certificati. Gli utenti che utilizzano già sistemi automatizzati devono assicurarsi che i loro strumenti supportino correttamente i certificati con una durata ridotta. Per coordinare gli aggiornamenti automatici e tempestivi dei certificati, gli amministratori possono utilizzare l'estensione del protocollo ARI (ACME Renewal Information), che consente di ricevere informazioni sulla necessità di aggiornare i certificati e di scegliere il momento ottimale per l'aggiornamento. È inoltre consigliabile impostare un sistema di monitoraggio per rilevare situazioni in cui un certificato non è stato aggiornato in tempo.
Per semplificare la convalida dei diritti sul dominio, il progetto Let's Encrypt prevede di implementare nel 2026 un nuovo metodo di verifica DNS-PERSIST-01, che a differenza dei metodi HTTP-01 e DNS-01 non richiede di aggiornare le informazioni ad ogni verifica e non richiede che il cliente ACME abbia accesso all'infrastruttura web o al server DNS. Con PERSIST-01 è sufficiente aggiungere una volta nel DNS un certo record TXT (‘_validation-persist.example.com. IN TXT («ca.example;» » accounturi=https://ca.example/acct/123″)’) e il cliente ACME potrà procedere con l'autenticazione senza aggiornare i dati nel DNS.
Fonte: opennet.ru
