Три, два, один, отмена однолетних сертификатов TLS

На форуме CA/Browser (CA/B) в Братиславе, Словакия, на этой неделе Apple объявила, что начиная с 1 сентября, вновь выданные доверенные сертификаты TLS действительны не более 398 дней. Это последовало за долгой историей сообщества CA/B Forum, работающего над сокращением срока службы сертификатов и повышением безопасности, при этом балансируя потребности владельцев бизнеса в переходе на более короткие сертификаты действительности.

В августе 2019 года CA/B Forum Ballot SC22 была введена Google для сокращения срока действия сертификата TLS до одного года. Центры сертификации рассмотрели это предложение со своими клиентами и подготовили тысячи комментариев от пользователей, которые в большинстве своем были против, из-за дополнительной работы, которая требуется ИТ-командам для обработки более коротких периодов действия. Голосование провалилось на Форуме, что означало, что максимальный срок действия сертификатов оставался на два года.

Одно время сертификаты предлагались с максимальным сроком действия три года. Несколько лет назад они были сокращены до двух лет. Перенесемся к объявлению Apple на этой неделе, которое в конечном итоге делает то, что не удалось сделать бюллетеню SC22: сократить срок действия сертификатов до одного года.

Почему Apple в одностороннем порядке решила обеспечить более короткий срок действия сертификатов? Их представитель сказал, что это было «для защиты пользователей». Из предыдущих обсуждений на CA/B Forum мы знаем, что в случае серьезного инцидента безопасности оказалось, что более длительный срок службы сертификатов затрудняет замену сертификатов. Apple явно хочет избежать экосистемы, которая не может быстро реагировать на основные угрозы, связанные с сертификатами. Краткосрочные сертификаты улучшают безопасность, потому что они уменьшают окно воздействия, если сертификат TLS скомпрометирован. Они также помогают исправить нормальный рабочий отток в организациях, обеспечивая ежегодное обновление идентификационных данных, таких как названия компаний, адреса и активные домены. Как и в случае любых улучшений, сокращение срока службы должно быть сбалансировано с трудностями, которые требуются пользователям сертификатов для реализации этих изменений.

Что это значит для пользователей сертификатов? Если Safari доверяет вашему веб-сайту, вы больше не сможете выпускать общедоступные сертификаты TLS со сроком действия более 398 дней после 30 августа 2020 года. Любые сертификаты, выпущенные до 1 сентября 2020 года, будут действительны, независимо от срока действия (до 825 дней). Сертификаты, которые не являются публично доверенными, все еще могут быть распознаны с максимальным сроком действия до 825 дней.

Ответ DigiCert

DigiCert соглашается с тем, что более короткие жизненные циклы помогают повысить безопасность экосистемы и имеют инструменты, необходимые, чтобы помочь нашим клиентам автоматизировать процесс жизненного цикла сертификата. Они поддерживают сертификаты с коротким сроком службы, срок службы которых составляет всего несколько часов для клиентов с расширенными возможностями автоматизации. Кроме того, платформа CertCentral включает в себя возможность планировать и автоматизировать замену сертификатов EV, OV и DV. Используя CertCentral, администраторы могут воспользоваться преимуществами постоянного обнаружения, уведомлений об обновлении, тщательной интеграции API и документации, а также поддержки уровней оркестровки. CertCentral также позволяет осуществлять многолетние закупки для более плавного планирования и круглосуточной глобальной поддержки, обеспечивая лучший опыт в отрасли.

Поскольку сроки действия сертификатов продолжают сокращаться, автоматизация будет обязательной для способности организаций управлять более короткими временами жизни. DigiCert подготовлен с использованием самых передовых и надежных инструментов в отрасли, чтобы помочь нашим клиентам предпринять необходимые шаги для более широкого использования автоматизации. GoGetSSL будет реализовывать CertCentral API до 20 марта 2020 года.

Ответ Sectigo

Sectigo понимает преимущества и поддерживает более короткие жизненные циклы сертификатов. Тем не менее, они также знают, что введенное в настоящее время двухлетнее ограничение уже повлияло на реселлеров SSL, а также на бизнес, вызывая трения пользователей, снижение средних продажных цен (ASP) и отрицательно влияя на общий доход. Этот новый отраслевой стандарт еще больше повлияет на доходы партнеров.

Sectigo предвидела это изменение и внедрила решения, которые помогут партнерам поддерживать и даже увеличивать ASP, а также удерживать 30% + годовой доход, который подвержен риску из-за сокращенное время жизни сертификатов.