Spoločnosť Google plánuje skrátiť životnosť certifikátov SSL na jeden rok

SSL certifikáty

Google plánuje vykonať nejaké zmeny v životnosti certifikátov SSL. Osvedčenia by boli v takom prípade platné iba jeden rok, a nie dva roky.

Zamestnanec spoločnosti Google Ryan Sleevi predstavil túto myšlienku na stretnutí F2F fóra CA / B, ktoré sa konalo v júni tohto roku. Pre tých, ktorí to nevedia, je CA / B Forum v podstate platforma, ktorá sa skladá z dodávateľov prehľadávačov, operačného systému a certifikačných autorít. Toto je neoficiálna skupina zodpovedná za stanovenie priemyselných smerníc, ktoré upravujú digitálne certifikáty.

Predajcovia spoločnosti Brower hlasovali za rozhodnutie

Podľa návrh , všetky nové certifikáty SSL by boli platné približne jeden rok a jeden mesiac (397 dní). Je pozoruhodné, že všetky existujúce certifikáty majú životnosť viac ako dva roky (825 dní). Tento návrh podporila väčšina výrobcov prehľadávačov.

Certifikačné autority sú však proti rozhodnutiu. Nie je to prvýkrát, čo sa o takejto myšlienke diskutuje. Certifikáty SSL boli pôvodne platné asi osem rokov. Zvyšujúce sa bezpečnostné hrozby prinútili úrady znížiť ich na tri a potom dva roky po veľkom odporu.

Fórum CA / B odmietlo podobný návrh, ktorý bol predstavený ešte v roku 2017. Myšlienkou bolo skrátiť životnosť na jeden rok. Certifikačné autority zastávajú názor, že je nespravodlivé znova meniť životnosť certifikátov SSL.

Znížená životnosť ponúka bezpečnostné výhody

Aj keď CA sú proti tejto myšlienke, prináša so sebou množstvo bezpečnostných výhod. Nie je potrebné pripomínať, že pravidlá súladu sa menia každý mesiac. Táto zmena by spoločnostiam uľahčila prechod s novými pravidlami.

Existuje veľa spoločností, ktoré chránia svoje systémy pomocou digitálnych certifikátov. Nemôžeme poprieť skutočnosť, že zmena by mala za následok ďalšie náklady pre tisíce takýchto spoločností. Najdôležitejšie je, že v dôsledku zníženej životnosti sa nepripravujú žiadne významné vylepšenia zabezpečenia.

Stále musia čeliť všetkým škodlivým činiteľom, ktorí pravidelne plánujú phishingové útoky. Je pre nich čoraz ťažšie chrániť svojich zákazníkov bez viditeľných výhod. Táto vojna medzi dodávateľmi prehliadačov a certifikačnými autoritami nie je nič nové. Je len otázkou času, či bude spoločnosť Google naďalej úspešná vo svojom úsilí.