Den maximala livslängden för TLS-certifikat minskas från 398 till 47 dagar

Deltagarna i CA/Browser Forum, som är en plattform för samordning av samarbetet mellan webbläsartillverkare och certifikatutfärdare, har röstat för att minska den maximala livslängden för TLS-certifikat. Den maximala giltighetstiden för TLS-certifikat kommer att minskas från 398 dagar till 47 dagar, om inte CA/Browser Forum senare reviderar det beslut som fattats. Utöver giltighetstiden för certifikaten har man också beslutat att avsevärt minska tidsramarna för återanvändning av valideringsdata för objekt: för SAN (Subject Alternative Name, när ett certifikat täcker flera resurser, till exempel gäller för flera domäner) kommer tidsramen att minskas från 398 dagar till 10 dagar, och för icke-SAN kommer den att minska från 825 dagar till 398 dagar.

Ändringen avser att genomföras gradvis: från och med den 15 mars 2026 kommer den maximala giltighetstiden TLS-certifikat att minska till 250 dagar, från och med den 15 mars 2027 till 100 dagar, och från och med mars 2029 till 47 dagar. Efter varje steg kommer behandling av nya certifikat som inte uppfyller de nämnda kriterierna att resultera i felmeddelandet "ERR_CERT_VALIDITY_TOO_LONG" i webbläsarna. Tidigare har webbläsartillverkare lyckats försvara en gradvis minskning av certifikatens livslängd från 8 år till 398 dagar (13 månader).

För det nya minskningen av livslängden för TLS-certifikat röstade 29 deltagare, 6 lade ned sina röster och ingen röstade emot. Deltagarna som röstade "ja": Apple, Google, Microsoft, Mozilla, Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa. Deltagarna som lade ned sina röster: Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA.

Antas att generering av kortvariga certifikat kommer att möjliggöra snabbare implementering av nya kryptovalutor vid upptäckten av sårbarheter i nuvarande, samt minska säkerhetshot. Till exempel, i händelse av en obemärkt läckage av certifikat på grund av en hackning, kommer kortlivade certifikat att förhindra angripare från att under en längre tid kontrollera offrets trafik eller använda certifikat för phishing. Mer frekvent validering och kortare giltighetstider för certifikat kommer också att minska risken för att ett certifikat fortsätter att vara giltigt efter att informationen i det har förlorat sin aktualitet och minska risken för spridning av felaktigt utfärdade certifikat.

Dessutom kommer kortlivade certifikat att bli en incitament för att införa automatiska system för certifikathantering, som är befriade från den mänskliga faktorn. Dock kan avskaffande av handhavande certifikatförnyelse leda till negativa konsekvenser. Det påpekas att vissa enheter, som endast tillåter uppladdning av certifikat i manuellt läge, kan förbli med ogiltiga certifikat på grund av svårigheterna att ordna en manuell uppdatering var sjuttonde vecka. Förändringen kan också påverka affärerna för certifikatutfärdare som inte tillhandahåller API för automatisk erhållning av certifikat negativt.

Källa: opennet.ru