Let's Encrypt, 2027 Şubat'tan itibaren ücretsiz SSL/TLS sertifika süresini 64 güne düşürüyor

Daha kısa sertifikalar, daha sıkı güvenlik

Let's Encrypt ücretsiz SSL/TLS sertifikaların süresini 90 günden 64 güne kısaltıyor; değişiklik 2027 yılının Şubat'ından itibaren yürürlüğe girecek. Sertifika merkezinin ifadesine göre, bu adım, servisin 2016 yılının başında lansmanı sırasında başlatılan daha sıkı güvenlik yönündeki kursu sürdürüyor: o zaman üç yıla kadar geçerli olan sertifikalar 90 günlük sürelerle değiştirilerek yenileme otomasyonu zorunlu hale getirilmişti.

Daha kısa kullanım süreleri özel anahtarın çalınması ve yanlış verilen sertifikalar nedeniyle yapılan zararı azaltıyor. Let's Encrypt'in açıklamasına göre, süreler daha da kısaltılacak ve 2028'de 45 günlük bir varsayılan dönem getirilmesi planlanıyor.

Amaç otomasyon

Kısaltılan süreler kullanıcıları tam ACME otomasyonuna yöneltmeli. ACME protokolü, özellikle ACME Renewal Information (ARI), sertifika merkezinin müşterilere yenileme zamanını zamanında bildirmesine olanak tanıyor. Let's Encrypt'e göre, ARI destekli modern ACME istemcilerini zaten kullanan yöneticiler sorunsuz geçiş yapacak; sabit yenileme takvimleri veya manuel süreçlere güvenenler ise Şubat'a kadar sistemlerini güncellemeli, aksi halde sertifikalar beklemediği süre dolmuş olabilir.

Birçok kurulum sabit aralıklarla, örneğin süre dolmadan 60 gün önce, betiklerle yenileme yapıyor. Let's Encrypt'in önerisi, cron görevlerini ve runbook'ları kontrol etmek, yenilemenin sertifika ömrünün üçte ikisinde gerçekleşmesini sağlamak ve 90 günlük modelde yaygın olan 83, 80 ve 60 gün gibi hedefleri bulmaktır.

Test ve doğrulama değişiklikleri

14 Ekim'den itibaren Let's Encrypt 64 günlük sertifikaların test edecek; ilgilenen kullanıcılar sisteme geçmeden önce kendi yapılandırmalarını önceden kontrol edebilecek. Yöneticilerin yenileme otomasyonunu kontrol etmeleri için Şubat sonuna kadar yaklaşık dört ay süreleri var.

Kuruluş doğrulama sürelerini de kısaltıyor. Yetkilendirmenin yeniden kullanılması dönemi 30 günden 10 güne düşürülecek ve 2028'de yedi saate kadar kısaltılacak. Let's Encrypt'e göre bu adım CAA yeniden kontrollerinin gereksinimini ortadan kaldıracak. Operatörlerin çoğu, ACME istemcileri önbelleğe alınmış doğrulama verilerine güveniyorsa değişikliği fark etmeyecek.

Tüm sektör üzerinde baskı

Bu değişiklik sektörün daha geniş zorunlu gereksinimlerini yansıtıyor. Açıklamanın ardından yapılan tartışmalara göre, ana tarayıcı üreticilerini ve sertifika merkezlerini birleştiren CA/Browser Forum, sertifikaların maksimum ömrünün kademeli olarak kısaltılmasını zorunlu hale getirdi. Bu takvime göre, TLS sertifikasının maksimum ömrü 398 günden 200 güne 2026 yılının 15 Mart'ında, 100 güne 2027 yılının 15 Mart'ında ve 47 güne 2029 yılının 15 Mart'ında kısaltılacak. Yorumcular ayrıca sertifika web arayüzü değişikliği isteyen cihaz üreticilerinin IT departmanları için zorlu olduğunu belirtti.

Kaynaklar: Arstechnica