Vývojári projektu Chromium vykonali zmenu, ktorá stanovuje maximálnu dĺžku platnosti TLS certifikátov na 398 dní (13 mesiacov).

Podmienka platí pre všetky verejné serverové certifikáty vydané po 1. septembri 2020. Ak certifikát nespĺňa toto pravidlo, prehliadač ho odmietne ako neplatný a vráti konkrétnu chybu ERR_CERT_VALIDITY_TOO_LONG.

Pre certifikáty získané do 1. septembra 2020 zostane dôveryhodnosť zachovaná a bude obmedzená na 825 dní (2,2 roka), ako je to dnes.

Predtým obmedzili maximálnu dĺžku platnosti certifikátov vývojári prehliadačov Firefox a Safari. Zmena tiež nadobúda účinnosť 1. septembra.

To znamená, že webové stránky používajúce certifikáty SSL/TLS s dlhšou dobou platnosti, vydané po stanovenom termíne, budú v prehliadačoch hlásiť chyby súkromia.

Novú politiku prvý oznámila Apple na zasadnutí fóra CA/Browser v februári 2020. Pri zavádzaní nového pravidla Apple sľúbila, že ho bude uplatňovať na všetkých zariadeniach iOS a macOS. To zatlačí na správcov webových stránok a vývojárov, aby sa ich certifikáty riadili požiadavkami.

Sk shorterie platnosti certifikátov sa už niekoľko mesiacov diskutuje v Apple, Google a ďalšími účastníkmi CA/Browser. Táto politika prináša svoje výhody a nevýhody.

Cieľom tohto kroku je zvýšiť bezpečnosť webových stránok, zabezpečiť, aby vývojári používali certifikáty s najnovšími kryptografickými štandardmi, a znížiť počet starých, zabudnutých certifikátov, ktoré potenciálne môžu byť ukradnuté a znovu použité na phishing a drive-by malware útoky. Ak sa útočníkom podarí prelomiť kryptografiu v štandarde SSL/TLS, krátkodobé certifikáty poskytnú ľuďom prechod na bezpečnejšie certifikáty približne za rok.

Sk shortening platnosti certifikátov má svoje nevýhody. Bolo zaznamenané, že zvyšovaním frekvencie výmeny certifikátov Apple a iné spoločnosti aj trochu sťažujú život majiteľom webových stránok a spoločnostiam, ktoré musia spravovať certifikáty a dodržiavať predpisy.

Na druhej strane, Let’s Encrypt a ďalšie certifikačné autority povzbudzujú webmasterov k zavádzaniu automatizovaných postupov na obnovu certifikátov. To znižuje ľudské náklady a riziko chýb s rastúcou frekvenciou výmeny certifikátov.

Ako je známe, Let’s Encrypt vydáva bezplatné HTTPS certifikáty, ktorých platnosť vypršuje po 90 dňoch, a poskytuje nástroje na automatizáciu predlžovania. Tieto certifikáty sa tak lepšie začleňujú do celkovej infraštruktúry – keďže prehliadače zavádzajú obmedzenia na maximálnu platnosť.

Tento návrh bol predložený na hlasovanie členmi asociácie CA/Browser Forum, ale rozhodnutie nebolo schválené kvôli nesúhlasu certifikačných autorít..

Výsledky

Hlasovanie vydavateľov certifikátov

Za (11 hlasov): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (bývalý Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Proti (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (bývalý Trustwave)
Zdržali sa (2): HARICA, TurkTrust