Neziskový certifikačný úrad Let’s Encrypt, kontrolovaný komunitou a poskytujúci certifikáty bez poplatkov všetkým záujemcom, oznámil rozhodnutie postupne skrátiť platnosť vydávaných TLS certifikátov z 90 na 45 dní. Dňa 10. februára 2027 sa platnosť certifikátov skráti na 64 dní a 16. februára 2028 na 45 dní. Možnosť získania certifikátov s platnosťou 45 dní sa objaví 13. mája 2026.
Zároveň sa postupne skráti aj obdobie platnosti autorizácie — 10. februára 2027 sa skráti z 30 na 10 dní a 16. februára 2028 sa skráti z 10 dní na 7 hodín. Obdobie platnosti autorizácie znamená čas po potvrdení svojich práv na domény, počas ktorého môže byť certifikát vydaný bez opätovných kontrol. Po uplynutí tohto času je potrebné nové potvrdenie práv.
Dôvodom na skrátenie platnosti certifikátov sú nové požiadavky asociácie CA/Browser Forum, ktorým musia vyhovieť výrobcovia prehliadačov a certifikačné úrady. Podobné skrátenie platnosti bude zavedené všetkými certifikačnými úradmi. CA/Browser Forum určil konečný termín na ukončenie implementácie na marec 2029, pričom maximálna doba platnosti certifikátu bude 47 dní. Po marci 2029 bude spracovanie nových certifikátov v prehliadačoch, ktorých platnosť presahuje 47 dní, viesť k chybám „ERR_CERT_VALIDITY_TOO_LONG“.
Medzi výhody prechodu na certifikáty s krátkou platnosťou patrí skrátenie času na zavedenie nových kryptografických algoritmov v prípade zistenia zraniteľností v aktuálnych certifikátoch, ako aj zvýšenie bezpečnosti. Napríklad v prípade nepozorovanej úniku certifikátu v dôsledku hacku krátkodobé certifikáty zabránia útočníkom dlhodobo kontrolovať prevádzku obete alebo využívať certifikáty na phishing. Častejšie overovanie vlastníctva domény a skrátenie platnosti certifikátov tiež znížia pravdepodobnosť, že certifikát bude naďalej platný po strate aktuálnosti obsahu v ňom a znížia riziko šírenia nesprávne vydaných certifikátov.
V súvislosti so skrátením platnosti certifikátov Let’s Encrypt odporúča používateľom neaktualizovať certifikáty ručne, ale prejsť na automatické systémy správy certifikátov. Tí, ktorí už používajú automatizované systémy, by si mali overiť, či ich nástroje správne podporujú certifikáty so skrátenou platnosťou. Na koordináciu včasných automatických aktualizácií certifikátov môžu administrátori využiť rozšírenie protokolu ARI (ACME Renewal Information), ktoré umožňuje získať informácie o potrebe aktualizácie certifikátov a vybrať optimálny čas na aktualizáciu. Rovnako má zmysel nastaviť systém monitorovania na zistenie situácií, keď certifikát nebol včas aktualizovaný.
Na zjednodušenie overovania práv na doménu plánuje projekt Let’s Encrypt zaviesť v roku 2026 novú metódu overovania DNS-PERSIST-01, ktorá na rozdiel od metód HTTP-01 a DNS-01 nevyžaduje aktualizáciu informácií pri každom overení a prístup ACME klienta k webovej infraštruktúre alebo DNS serveru. V PERSIST-01 stačí raz pridať do DNS konkrétny TXT záznam (‘_validation-persist.example.com. IN TXT („ca.example;“ „accounturi=https://ca.example/acct/123“)’) a ACME klient bude môcť vykonávať autorizáciu bez aktualizácie údajov v DNS.
Zdroj: opennet.ru
