Členovia asociácie CA/Browser Forum, ktorá slúži ako platforma na koordináciu spolupráce výrobcov prehliadačov a certifikačných autorít, hlasovali za skrátenie maximálnej doby platnosti TLS certifikátov. Maximálna doba platnosti TLS certifikátov bude skrátená z 398 na 47 dní, pokiaľ CA/Browser Forum neskôr neprehodnotí prijaté rozhodnutie. Okrem doby platnosti certifikátov bolo tiež rozhodnuté výrazne skrátiť obdobie opätovného použitia validačných údajov objektov: pre SAN (Subject Alternative Name, keď jeden certifikát pokrýva niekoľko zdrojov, napríklad platí pre viacero domén) bude doba skrátená z 398 na 10 dní, a pre non-SAN – z 825 na 398 dní.
Zmenu plánujú zavádzať postupne: od 15. marca 2026 sa maximálna doba platnosti TLS-certifikátov skráti na 250 dní, od 15. marca 2027 na 100 dní a od marca 2029 na 47 dní. Po dosiahnutí každej etapy bude spracovanie nových certifikátov, ktoré nespĺňajú uvedené kritériá, viesť k zobrazeniu chybového hlásenia „ERR_CERT_VALIDITY_TOO_LONG“ v prehliadačoch. Predtým sa výrobcovi prehliadačov podarilo obhájiť postupné skrátenie doby platnosti certifikátov z 8 rokov na 398 dní (13 mesiacov).
Za nové skrátenie doby platnosti TLS certifikátov hlasovalo 29 členov, 6 sa zdržalo a nikto nehlasoval proti. Členovia, ktorí hlasovali „za“: Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Členovia, ktorí sa zdržali: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.
Predpokladá sa, že generácia krátkodobých certifikátov umožní rýchlejšie zavádzanie nových kryptografických algoritmov v prípade zistenia zraniteľností v súčasne platných, ako aj zníži bezpečnostné riziká. Napríklad, v prípade nezaznamenanej úniku certifikátu v dôsledku hackovania, krátkodobé certifikáty zabraňujú útočníkom dlhodobo kontrolovať prevádzku obete alebo používať certifikáty na phishing. Častejšia validácia a skrátenie platnosti certifikátov tiež znížia pravdepodobnosť, že certifikát bude platiť aj po strate aktuálnosti obsahu a znížia riziko šírenia nesprávne vydaných certifikátov.
Okrem toho, krátkodobé certifikáty sa stanú stimulom pre zavedenie automatických systémov na správu certifikátov, zbavených ľudského faktora. Avšak, zánik praxe ručného aktualizovania certifikátov môže viesť aj k negatívnym následkom. Upozorňuje sa, že niektoré zariadenia, ktoré umožňujú načítanie certifikátov iba ručne, môžu zostať s neplatnými certifikátmi kvôli zložitosti organizácie ručného aktualizovania každých pätnásť dní. Zmena môže tiež negatívne ovplyvniť podnikanie certifikačných úradov, ktoré neposkytujú API na automatické získavanie certifikátov.
Zdroj: opennet.ru
