I membri dell'associazione CA/Browser Forum, che funge da piattaforma per coordinare la collaborazione tra produttori di browser e autorità di certificazione, hanno votato per ridurre il massimo tempo di vita dei certificati TLS. Il tempo massimo di validità dei certificati TLS sarà ridotto da 398 a 47 giorni, a meno che in futuro il CA/Browser Forum non riveda la decisione presa. Oltre al tempo di validità dei certificati, è stato deciso di ridurre significativamente anche i termini di riutilizzo dei dati di validazione degli oggetti: per il SAN (Subject Alternative Name, quando un certificato copre più risorse, ad esempio, è valido per più domini contemporaneamente) il termine sarà ridotto da 398 a 10 giorni, mentre per il non-SAN sarà ridotto da 825 a 398 giorni.
Il cambiamento sarà promosso gradualmente: a partire dal 15 marzo 2026, il periodo massimo di validità certificati TLS. sarà ridotto a 250 giorni, dal 15 marzo 2027 a 100 giorni, e da marzo 2029 a 47 giorni. Dopo ciascuna fase, la lavorazione di nuovi certificati non conformi ai criteri menzionati porterà all'emissione di errori "ERR_CERT_VALIDITY_TOO_LONG" nei browser. In precedenza, i produttori di browser erano riusciti a fare in modo che il tempo di vita dei certificati fosse ridotto gradualmente da 8 anni a 398 giorni (13 mesi).
La nuova riduzione del tempo di vita dei certificati TLS è stata approvata da 29 membri, 6 si sono astenuti e nessuno ha votato contro. I membri che hanno votato "a favore": Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. I membri che si sono astenuti: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.
Si prevede che la generazione di certificati a breve termine consentirà di implementare più rapidamente nuovi algoritmi crittografici nel caso venga individuata una vulnerabilità in quelli attualmente in uso, oltre a ridurre le minacce alla sicurezza. Ad esempio, in caso di una fuga invisibile di un certificato a causa di un attacco informatico, i certificati a breve termine impediranno agli aggressori di controllare il traffico della vittima per lungo tempo o di utilizzare i certificati per il phishing. Una validazione più frequente e una riduzione della durata di validità dei certificati diminuiranno anche la probabilità che un certificato resti valido dopo la perdita di validità delle informazioni in esso contenute, riducendo il rischio di diffusione di certificati emessi in modo errato.
Inoltre, i certificati a breve termine saranno uno stimolo per l'implementazione di sistemi di gestione dei certificati automatici, privi di fattore umano. Tuttavia, l'eliminazione della pratica di aggiornamento manuale dei certificati potrebbe anche avere conseguenze negative. Si segnala che alcuni dispositivi, che consentono il caricamento dei certificati solo in modalità manuale, potrebbero rimanere con certificati scaduti a causa della complessità di organizzare aggiornamenti manuali ogni anno e mezzo. Il cambiamento potrebbe anche influenzare negativamente le attività delle autorità di certificazione che non forniscono API per il rilascio automatico dei certificati.
Fonte: opennet.ru
