26 წლის 2019 ივლისი Google წინადადება გააკეთა შეამცირეთ SSL/TLS სერვერის სერთიფიკატების მაქსიმალური მოქმედების პერიოდი მიმდინარე 825 დღიდან 397 დღემდე (დაახლოებით 13 თვე), ანუ დაახლოებით ნახევარით. Google თვლის, რომ მხოლოდ სერთიფიკატებით ქმედებების სრული ავტომატიზაცია გაათავისუფლებს უსაფრთხოების ამჟამინდელ პრობლემებს, რომლებიც ხშირად ადამიანურ ფაქტორებს მიაწერენ. ამიტომ, იდეალურ შემთხვევაში, უნდა მიისწრაფოდეს ხანმოკლე სერთიფიკატების ავტომატური გაცემისკენ.

საკითხი კენჭისყრაზე მიიღეს CA/Browser Forum-ში (CABF), რომელიც ადგენს მოთხოვნებს SSL/TLS სერთიფიკატებისთვის, მაქსიმალური მოქმედების პერიოდის ჩათვლით.

შემდეგ კი 10 სექტემბერს შედეგები გამოცხადდა: ხმა მისცეს კონსორციუმის წევრებს против წინადადებები.

დასკვნები

სერტიფიკატის გამცემის ხმის მიცემა

ამისთვის (11 ხმა): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (ყოფილი Comodo CA), eMudhra, Kamu SM, Let's Encrypt, Logius, PKIoverheid, SHECA, SSL.com

წინააღმდეგ (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, ქსელური გადაწყვეტილებები, OATI, SECOM, SwissSign, TWCATrustform, Trustwave)

თავი შეიკავა (2): HARICA, TurkTrust

მომხმარებელთა ხმის მიცემის სერტიფიკატი

(7)-სთვის: Apple, Cisco, Google, Microsoft, Mozilla, Opera, 360

წინააღმდეგ: 0

თავი შეიკავა: 0

CA/ბრაუზერის ფორუმის წესების მიხედვით, სერთიფიკატი უნდა დაამტკიცოს სერტიფიკატის გამცემთა ორი მესამედისა და მომხმარებელთა 50%-ის პლუს ერთი ხმის მიერ.

Digicert-ის წარმომადგენლები ბოდიში მოიხადა კენჭისყრის გამოტოვებისთვის, სადაც ისინი ხმას მისცემდნენ სერტიფიკატების მოქმედების ვადის შემცირებას. ისინი აღნიშნავენ, რომ ზოგიერთი მომხმარებლისთვის ხანმოკლე ხანგრძლივობა შეიძლება იყოს პრობლემა, მაგრამ არსებობს უსაფრთხოების გრძელვადიანი სარგებელი.

ასეა თუ ისე, ინდუსტრია ჯერ არ არის მზად, რომ შეამციროს სერტიფიკატების მოქმედების ვადა და მთლიანად გადავიდეს ავტომატურ გადაწყვეტილებებზე. თავად სერტიფიკატის ორგანოებს შეუძლიათ შესთავაზონ ასეთი მომსახურება, მაგრამ ბევრ კლიენტს ჯერ არ დაუნერგავს ავტომატიზაცია. შესაბამისად, ვადის 397 დღემდე შემცირება ამ დროისთვის გადაიდო. მაგრამ კითხვა ღია რჩება.

ახლა Google-მა შესაძლოა სცადოს სტანდარტის „იძულებით“ დანერგვა, როგორც ეს პროტოკოლთან დაკავშირებით გააკეთა სერთიფიკატის გამჭვირვალობა. უფრო მეტიც, მას ასევე მხარს უჭერენ სხვა დეველოპერები: Apple, Microsoft, Mozilla და Opera.

შეგახსენებთ, რომ სრული ავტომატიზაცია არის ერთ-ერთი პრინციპი, რომელზეც ეფუძნება არაკომერციული სერტიფიცირების ცენტრის Let's Encrypt-ის მუშაობა. ის ყველას გასცემს უფასო სერთიფიკატებს, მაგრამ სერთიფიკატის მაქსიმალური ვადა შემოიფარგლება 90 დღით. სერთიფიკატებს აქვთ მოკლე ვადა ორი მთავარი უპირატესობა:

1. გატეხილი გასაღებების და არასწორად გაცემული სერთიფიკატების დაზიანების შეზღუდვა, რადგან ისინი გამოიყენება უფრო მოკლე დროში;
2. ხანმოკლე სერთიფიკატები მხარს უჭერენ და ხელს უწყობენ ავტომატიზაციას, რაც აბსოლუტურად აუცილებელია HTTPS-ის მარტივად გამოყენებისთვის. თუ ჩვენ ვაპირებთ მთელი მსოფლიო ქსელის HTTPS-ზე გადატანას, მაშინ არ უნდა ველოდოთ, რომ თითოეული არსებული საიტის ადმინისტრატორი ხელით განაახლებს სერთიფიკატებს. მას შემდეგ რაც სერთიფიკატის გაცემა და განახლება სრულად ავტომატიზირებული გახდება, სერტიფიკატის ხანმოკლე ვადები უფრო მოსახერხებელი და პრაქტიკული გახდება.

GlobalSign-ის გამოკითხვა Habré-ზე აჩვენა, რომ რესპონდენტთა 73,7% „უჭერს მხარს“ სერტიფიკატების მოქმედების ვადის შემცირებას.

რაც შეეხება SSL სერთიფიკატების EV ხატის დამალვას მისამართების ზოლში, კონსორციუმს ხმა არ მიუღია ამ საკითხზე, რადგან ბრაუზერის ინტერფეისის საკითხი მთლიანად დეველოპერების კომპეტენციაშია. სექტემბერ-ოქტომბერში გამოვა Chrome 77-ისა და Firefox 70-ის ახალი ვერსიები, რომლებიც EV სერთიფიკატებს ბრაუზერის მისამართის ზოლში განსაკუთრებულ ადგილს წაართმევენ. აი, როგორ გამოიყურება ცვლილება Firefox 70-ის დესკტოპის ვერსიის გამოყენებით, როგორც მაგალითი:

იყო:

იქნება:

უსაფრთხოების ექსპერტი ტროი ჰანტის თქმით, EV ინფორმაციის ამოღება ბრაუზერების მისამართის ზოლიდან რეალურად დამარხავს ამ ტიპის სერთიფიკატებს.

წყარო: www.habr.com