מפתחי פרויקט Chromium עשה שינוי, הקובע את משך החיים המרבי של תעודות TLS ל-398 ימים (13 חודשים).

התנאי חל על כל אישורי השרת הציבוריים שהונפקו לאחר 1 בספטמבר 2020. אם האישור אינו תואם כלל זה, הדפדפן ידחה אותו כלא חוקי ויגיב ספציפית בשגיאה ERR_CERT_VALIDITY_TOO_LONG.

עבור אישורים שהתקבלו לפני 1 בספטמבר 2020, האמון יישמר ו מוגבל ל-825 ימים (2,2 שנים), כמו היום.

בעבר, מפתחי הדפדפנים פיירפוקס וספארי הציגו הגבלות על תוחלת החיים המקסימלית של אישורים. שנה גם נכנס לתוקף ב-1 בספטמבר.

המשמעות היא שאתרים המשתמשים בתעודות SSL/TLS ארוכות חיים שהונפקו לאחר נקודת הניתוק יזרקו שגיאות פרטיות בדפדפנים.

אפל הייתה הראשונה להכריז על המדיניות החדשה בפגישה של פורום CA/דפדפן בפברואר 2020. בעת הצגת הכלל החדש, אפל הבטיחה להחיל אותו על כל מכשירי iOS ו-macOS. זה יפעיל לחץ על מנהלי אתרים ומפתחים כדי להבטיח שההסמכות שלהם תואמות.

קיצור תוחלת החיים של אישורים נידונה במשך חודשים על ידי אפל, גוגל וחברי CA/דפדפן אחרים. למדיניות זו יש יתרונות וחסרונות.

המטרה של המהלך הזה היא לשפר את אבטחת האתר על ידי הבטחה שמפתחים ישתמשו בתעודות עם תקני ההצפנה העדכניים ביותר, ולהפחית את מספר התעודות הישנות והנשכחות שעלולות להיגנב ולעשות שימוש חוזר בהתקפות דיוג והתקפות זדוניות. אם תוקפים יכולים לשבור את ההצפנה בתקן SSL/TLS, אישורים קצרי מועד יבטיחו שאנשים יעברו לאישורים מאובטחים יותר תוך כשנה.

לקיצור תקופת תוקף התעודות יש כמה חסרונות. צוין כי על ידי הגדלת תדירות החלפות התעודות, אפל וחברות אחרות גם מקשות מעט על החיים של בעלי אתרים וחברות שחייבות לנהל תעודות ותאימות.

מצד שני, Let's Encrypt ורשויות אישורים אחרות מעודדות מנהלי אתרים ליישם נהלים אוטומטיים לעדכון אישורים. זה מפחית את התקורה האנושית ואת הסיכון לשגיאות ככל שתדירות החלפת האישורים עולה.

כידוע, Let's Encrypt מנפיקה בחינם תעודות HTTPS שפג תוקפן לאחר 90 יום ומספקות כלים לאוטומטיים של חידוש. אז עכשיו האישורים האלה משתלבים אפילו טוב יותר בתשתית הכוללת, שכן הדפדפנים מגדירים מגבלות תוקף מקסימליות.

שינוי זה הועלה להצבעה על ידי חברי פורום CA/דפדפן, אך ההחלטה לא אושר עקב אי הסכמה של רשויות ההסמכה.

ממצאים

הצבעה של מנפיק תעודה

בעד (11 קולות): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (לשעבר Comodo CA), eMudhra, Kamu SM, Let's Encrypt, Logius, PKIoverheid, SHECA, SSL.com

נגד (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (לשעבר Trustwave)

נמנע (2): HARICA, TurkTrust

הצבעת צרכני תעודה

עבור (7): אפל, סיסקו, גוגל, מיקרוסופט, מוזילה, אופרה, 360

נגד: 0

נמנע: 0

דפדפנים אוכפים כעת מדיניות זו ללא הסכמת רשויות האישורים.

מקור: www.habr.com