Il centro di certificazione non profit Let's Encrypt, gestito dalla comunità e che offre certificati gratuitamente a chiunque, ha annunciato la decisione di ridurre gradualmente la validità dei certificati TLS da 90 a 45 giorni. Il 10 febbraio 2027, la durata dei certificati sarà ridotta a 64 giorni e il 16 febbraio 2028 a 45 giorni. Sarà disponibile l'opzione di ottenere certificati della durata di 45 giorni a partire dal 13 maggio 2026.
Allo stesso tempo, verrà ridotto progressivamente il periodo di autorizzazione: il 10 febbraio 2027 sarà ridotto da 30 a 10 giorni e il 16 febbraio 2028 da 10 giorni a 7 ore. Per periodo di autorizzazione si intende il tempo dopo la conferma dei diritti su un dominio, durante il quale il certificato può essere rilasciato senza ulteriori verifiche. Dopo la scadenza di questo periodo è necessaria una nuova conferma dei diritti.
La causa per la riduzione della durata dei certificati è legata ai nuovi requisiti dell'associazione CA/Browser Forum, ai quali devono attenersi i produttori di browser e gli enti di certificazione. Una simile riduzione della durata sarà adottata da tutti gli enti di certificazione. Il CA/Browser Forum ha stabilito come termine finale per l'implementazione marzo 2029, e la durata massima di un certificato sarà di 47 giorni. Dopo marzo 2029, il trattamento nei browser di nuovi certificati con una validità superiore a 47 giorni genererà l'errore "ERR_CERT_VALIDITY_TOO_LONG".
Tra i vantaggi della transizione a certificati a breve termine si annota la possibilità di ridurre il tempo di implementazione di nuovi algoritmi crittografici in caso di individuazione di vulnerabilità in quelli attualmente in uso, oltre a un incremento della sicurezza. Ad esempio, in caso di fuga silenziosa di un certificato a causa di un attacco, i certificati a vita breve ostacoleranno i malintenzionati nel controllare per lungo tempo il traffico della vittima o nell'utilizzare i certificati per phishing. Un controllo più frequente dell'assegnazione del dominio e la riduzione della durata dei certificati ridurranno anche la probabilità che un certificato resti valido dopo la perdita di rilevanza delle informazioni in esso contenute e abbasseranno il rischio di diffusione di certificati emessi erroneamente.
A causa della riduzione della validità dei certificati, Let’s Encrypt ha raccomandato agli utenti di non aggiornare manualmente i certificati, ma di passare a sistemi automatici di gestione dei certificati. Coloro che già utilizzano sistemi automatizzati devono assicurarsi che i loro strumenti supportino adeguatamente i certificati con validità ridotta. Per coordinare l'aggiornamento automatico tempestivo dei certificati, gli amministratori possono utilizzare l'estensione del protocollo ARI (ACME Renewal Information), che consente di ricevere informazioni sulla necessità di aggiornare i certificati e scegliere il momento ottimale per farlo. È anche consigliabile impostare un sistema di monitoraggio per rilevare situazioni in cui il certificato non è stato aggiornato in tempo.
Per semplificare la verifica dei diritti su un dominio, il progetto Let’s Encrypt prevede di introdurre nel 2026 un nuovo metodo di verifica DNS-PERSIST-01, che a differenza dei metodi HTTP-01 e DNS-01 non richiede l'aggiornamento delle informazioni ad ogni controllo e non necessita dell'accesso dell'ACME-client all'infrastruttura web o al server DNS. Con il PERSIST-01 è sufficiente aggiungere una certa voce TXT nel DNS ('_validation-persist.example.com. IN TXT ("ca.example;" "accounturi=https://ca.example/acct/123")') e l'ACME-client potrà effettuare l'autenticazione senza aggiornare i dati nel DNS.
Fonte: opennet.ru
