Apple и Mozilla будут принимать TLS-сертификаты со сроком действия не более 398 дней

Решение, в одностороннем порядке принятое компанией Apple в феврале 2020 года, с радостью подхватили другие разработчики браузеров, и удостоверяющим центрам (УЦ) пришлось с горечью принять тот факт, что срок действия TLS-сертификатов по умолчанию теперь составляет 398 дней.

Данный шаг меняет принцип не только работы ключевой части интернета – TLS-сертификатов, но и взаимодействия разработчиков браузеров с УЦ. Дело в том, что с 2005 года правила выпуска сертификатов устанавливала неформальная группа CA/B Forum, состоящая из УЦ. Именно CA/B Forum диктовала браузерам, как управлять цифровыми сертификатами и как их принимать, но не наоборот.

Традиционно все новые правила УЦ обсуждали с разработчиками браузеров, и лишь когда все вопросы были согласованы, эти правила вступали в силу. Тем не менее, в течение 15 лет оставался один вопрос, в решении которого УЦ и разработчики не могли найти компромисс, – сроки действия TLS-сертификатов.

Изначально срок действия цифровых сертификатов составлял восемь лет, затем пять, три и два. Последнее изменение было внесено в марте 2018 года, когда разработчики пытались сократить срок с трех лет до одного года, но в итоге сошлись на двух годах. Однако летом 2019 года, когда УЦ были уверены, что компромисс был достигнут, разработчики попытались снова сократить срок действия TLS-сертификатов до одного года. Автором инициативы выступила компания Google. Тем не менее, на голосовании в сентябре инициатива провалилась, хотя и получила 100% голосов разработчиков.

В феврале 2020 года Apple нарушила стандартную процедуру CA/B Forum, и вместо того, чтобы вынести вопрос на голосование, поставила УЦ перед фактом, что будет принимать сертификаты со сроком действия не более 398 дней. Вслед за Apple о своем решении сократить срок действия принимаемых браузером TLS-сертификатов также сообщили Mozilla и Google. Так, начиная с 1 сентября 2020 года, браузеры и устройства от Apple, Google и Mozilla будут отображать сообщение об ошибке для новых сертификатов со сроком действия более 398 дней.