Os membros da associação CA/Browser Forum, que serve como um espaço para coordenar a colaboração entre fabricantes de navegadores e autoridades de certificação, votaram pela redução do tempo de vida máximo dos certificados TLS. O tempo máximo de validade dos certificados TLS será reduzido de 398 para 47 dias, a menos que a CA/Browser Forum revise essa decisão no futuro. Além da duração dos certificados, também foi decidido reduzir significativamente os períodos de reutilização dos dados de validação de objetos: para SAN (Subject Alternative Name, quando um certificado cobre vários recursos, como vários domínios ao mesmo tempo) o prazo será reduzido de 398 para 10 dias, e para não-SAN — de 825 para 398 dias.
A mudança será promovida de forma gradual: a partir de 15 de março de 2026, o prazo máximo de validade certificados TLS será reduzido para 250 dias, de 15 de março de 2027 — para 100 dias, e a partir de março de 2029 — para 47 dias. Após cada etapa, a emissão de novos certificados que não atendam aos critérios mencionados resultará na exibição de erros 'ERR_CERT_VALIDITY_TOO_LONG' nos navegadores. Anteriormente, os fabricantes de navegadores conseguiram defender uma redução gradual do tempo de vida dos certificados de 8 anos para 398 dias (13 meses).
Para a nova redução do tempo de vida dos certificados TLS, 29 membros votaram a favor, 6 se abstiveram e ninguém votou contra. Os membros que votaram 'a favor': Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Os membros que se abstiveram: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.
A geração de certificados de curta duração deve permitir a implementação mais rápida de novos algoritmos criptográficos em caso de vulnerabilidades nos atuais, além de reduzir as ameaças à segurança. Por exemplo, no caso de uma vazamento de certificado devido a um ataque, os certificados de curta duração impedirão que os invasores controlem o tráfego da vítima por longos períodos ou utilizem os certificados para phishing. A validação mais frequente e a redução dos prazos de validade dos certificados também diminuirão a probabilidade de que um certificado continue válido após a perda de relevância das informações contidas nele e reduzirão o risco de disseminação de certificados mal emitidos.
Além disso, os certificados de curta duração servirão como um incentivo para a implementação de sistemas automáticos de gerenciamento de certificados, isentos do fator humano. No entanto, a eliminação da prática de atualização manual dos certificados pode levar a consequências negativas. Observa-se que alguns dispositivos, que permitem o carregamento de certificados apenas de forma manual, podem permanecer com certificados inválidos devido à dificuldade de organizar a atualização manual a cada um mês e meio. A mudança também pode impactar negativamente os negócios dos centros de certificação que não oferecem API para a emissão automática de certificados.
Fonte: opennet.ru
