Razvijalci projekta Chromium so uvedli spremembo, ki določa največjo dobo veljavnosti TLS certifikatov na 398 dni (13 mesecev).

Pogoji veljajo za vse javne strežniške certifikate, izdane po 1. septembru 2020. Če certifikat ne ustreza temu pravilu, ga bo brskalnik zavrnil kot neveljavnega in konkretno odgovoril z napako ERR_CERT_VALIDITY_TOO_LONG.

Za certifikate, pridobljene pred 1. septembrom 2020, bo zaupanje ohranjeno in omejeno na 825 dni (2,2 leti), kot je tudi danes.

Prej so omejili največjo veljavnost certifikatov razvijalci brskalnikov Firefox in Safari. Sprememba začne veljati tudi 1. septembra.

To pomeni, da bodo spletne strani, ki uporabljajo SSL/TLS certifikate z daljšo veljavnostjo, izdane po prelomni točki, izdajale napake glede zasebnosti v brskalnikih.

Prvo novo politiko je napovedala Apple na srečanju foruma CA/Browser v februarju 2020. Z uvajanjem novega pravila je Apple obljubil, da ga bo uporabil na vseh napravah iOS in macOS. To bo pritisnilo na skrbnike spletnih mest in razvijalce, da njihovi certifikati ustrezajo zahtevam.

Krajši rok veljavnosti certifikatov se že nekaj mesecev razpravljajo med Apple, Google in drugimi udeleženci CA/Browser. Ta politika ima svoje prednosti in slabosti.

Cilj tega koraka je povečati varnost spletne strani, s čimer se zagotovi, da razvijalci uporabljajo certifikate z najnovejšimi kriptografskimi standardi, in zmanjšati število starih, pozabljenih certifikatov, ki jih je mogoče potencialno ukrasti in ponovno uporabiti za phishing in zlonamerne napade. Če bodo zlonamerne osebe uspele vdreti v kriptografijo standarda SSL/TLS, bodo kratkotrajni certifikati omogočili ljudem prehod na varnejše certifikate v približno enem letu.

Krajši rok veljavnosti certifikatov ima nekatere slabosti. Ugotovljeno je bilo, da s povečanjem frekvence zamenjave certifikatov Apple in druge podjetja prav tako nekoliko otežujejo življenje lastnikom spletnih strani in podjetjem, ki morajo upravljati certifikate in zagotavljati skladnost z zahtevami.

S druge strani, Let’s Encrypt in drugi certifikacijski centri spodbujajo spletne skrbnike, da uvajajo avtomatizirane postopke za posodobitev certifikatov. To zmanjšuje človeške stroške in tveganje napak, ko pogostost zamenjave certifikatov narašča.

Kot je znano, Let’s Encrypt izdaja brezplačne HTTPS certifikate, katerih veljavnost poteče po 90 dneh, in ponuja orodja za avtomatizacijo podaljšanja. Zdaj se ti certifikati še bolje vključujejo v celotno infrastrukturo - saj brskalniki uvajajo omejitev maksimalnega trajanja.

To spremembo so glasovali člani združenja CA/Browser Forum, a odločitev ni bila potrjena zaradi nesoglasja certifikacijskih centrov..

Rezultati

Glasovanje izdajateljev certifikatov

Zanj (11 glasov): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (nekdanji Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Proti (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (nekdanji Trustwave)
Vzdržani (2): HARICA, TurkTrust