I membri dell'associazione CA/Browser Forum, che funge da piattaforma per coordinare la collaborazione tra produttori di browser e autorità di certificazione, hanno votato a favore della riduzione del periodo massimo di validità dei certificati TLS. Il periodo massimo di validità dei certificati TLS sarà ridotto da 398 a 47 giorni, se in futuro CA/Browser Forum non rivedrà questa decisione. Oltre al periodo di validità dei certificati, è stata decisa una notevole riduzione dei termini di riutilizzo dei dati di validazione degli oggetti: per il SAN (Subject Alternative Name, quando un certificato copre più risorse, ad esempio, è valido per più domini) il termine sarà ridotto da 398 a 10 giorni, mentre per il non-SAN sarà ridotto da 825 a 398 giorni.
La modifica sarà promossa gradualmente: a partire dal 15 marzo 2026, il periodo massimo di validità di certificati TLS sarà ridotto a 250 giorni, dal 15 marzo 2027 a 100 giorni, e da marzo 2029 a 47 giorni. Dopo ogni fase, il trattamento di nuovi certificati che non soddisfano i criteri menzionati comporterà l'emissione di errori "ERR_CERT_VALIDITY_TOO_LONG" nei browser. In precedenza, i produttori di browser erano riusciti a difendere una graduale riduzione del periodo di validità dei certificati da 8 anni a 398 giorni (13 mesi).
Per la nuova riduzione del periodo di validità dei certificati TLS hanno votato 29 membri, 6 si sono astenuti e nessuno ha votato contro. I membri che hanno votato "a favore": Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. I membri che si sono astenuti: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.
Si prevede che la generazione di certificati a breve termine consenta di implementare più rapidamente nuovi algoritmi crittografici in caso di vulnerabilità nei certificati attualmente in uso, riducendo così le minacce alla sicurezza. Ad esempio, in caso di fuga invisibile di un certificato a seguito di un attacco informatico, i certificati a breve termine impediranno agli aggressori di controllare a lungo il traffico della vittima o di utilizzare i certificati per attività di phishing. Una validazione più frequente e la riduzione dei termini di validità dei certificati diminuiranno anche la probabilità che un certificato continui a essere valido dopo che le informazioni in esso contenute siano diventate obsolete, riducendo così il rischio di diffusione di certificati emessi in modo errato.
Inoltre, i certificati a breve termine diventeranno uno stimolo per l'implementazione di sistemi automatici di gestione dei certificati, privi del fattore umano. Tuttavia, l'estinzione della pratica di aggiornamento manuale dei certificati potrebbe avere anche conseguenze negative. Si osserva che alcuni dispositivi, che consentono il caricamento dei certificati solo in modalità manuale, potrebbero rimanere con certificati non validi a causa della complessità nell'organizzare l'aggiornamento manuale ogni mese e mezzo. La modifica potrebbe anche influenzare negativamente il business dei centri di certificazione che non forniscono API per il rilascio automatico dei certificati.
Fonte: opennet.ru
