SSL апокалипсисът е близо: Сертификатите ще се сменят по-често от паролите в социалните мрежи

От 2029 година валидността на новите SSL/TLS сертификати ще бъде намалена на 47 дни – решение, взето от CA/Browser Forum, който включва производители на браузъри, сертифициращи органи и други заинтересовани страни от индустрията. Днес сертификатите са валидни до 398 дни, но след 5 години администраторите ще трябва да ги подменят много по-често, и с много повече усилия.

Инициативата за затягане на условията принадлежи на Apple, която миналата година предложи да се намали максималният срок на валидност на сертификатите, позовавайки се на увеличаването на заплахите.

Според инициаторите, колкото по-чести са актуализациите, толкова по-малък е прозорецът, в който може да се използва компрометиран или откраднат сертификат. Докато сега нападателите разполагаха с повече от година, до края на десетилетието тези срокове ще се свият максимално. Големи компании, сред които Google, Microsoft и Mozilla също подкрепиха подобно решение.

Гласуването по новия регламент се проведе в понеделник: 25 участници от сертификационни центрове подкрепиха инициативата, а други петима се въздържаха. Потребителите на сертификати (представени от най-големите ИТ-компании) също се изказаха в подкрепа на проекта. В резултат на това беше приет график за поетапно преминаване към по-кратки срокове на валидност:

От 15 март 2026 година сертификатите (включително доказателство за собственост на домейн, DCV) ще бъдат валидни за не повече от 200 дни. От 2027 година периодът ще бъде намален на 100 дни, а от 15 март 2029 година той ще бъде сведен до 47 дни за сертификатите и само 10 дни за DCV.

Основните играчи в индустрията като Sectigo подчертават, че това решение е стъпка към по-сигурен интернет и подготовка за рисковете, свързани с настъпването на квантовата ера. В действителност обаче нововъведението е предизвикало много повече от просто одобрение. Сред системните администратори реакцията беше меко казано сдържана.

Във форумите дискусията доведе до тревожни коментари: на теория тя може да бъде оправдана, особено при наличието на съвременни облачни решения и автоматизация, но в реалните инфраструктури, където все още се използва старо оборудване и наследени системи, всяка подмяна на сертификат рискува да се превърне в ръчен и досаден процес, тъй като не всички компании имат автоматизирани промени на сертификати.

Настоящата тенденция потвърждава главното: през следващите години администраторите ще трябва сериозно да преструктурират подходите си към управлението на сертификатите.

Без автоматизация новите срокове могат да се превърнат в постоянно главоболие, особено за тези, които управляват големи паркове от устройства и системи. Преходът обещава да бъде предизвикателство, особено за организациите с наследени технически решения.

Важно е да се отбележи, че инициативата не дойде внезапно: Apple вече беше ограничила поддръжката на дълготрайни сертификати в Safari през 2020 година, така че настоящото решение е логично продължение на по-ранната кампания за честа ротация на SSL/TLS сертификатите, a за мнозина то е последният сигнал, че автоматизацията вече не е препоръка, а необходимост.