Certyfikaty SSL a stanowisko Apple

Jako ludzie potrzebujemy stabilizacji i ┼Ťwi─Ötego spokoju. Dlatego czasami pami─Ötanie o konieczno┼Ťci op┼éacenia danej us┼éugi wydaje si─Ö uci─ů┼╝liwe. Przecie┼╝ mo┼╝na op┼éaci─ç niedrog─ů us┼éug─Ö z g├│ry na d┼éu┼╝szy okres i cieszy─ç si─Ö spokojem. Jednak czy na pewno? Czy jest to te┼╝ bezpieczne? No, niekoniecznie i do takiego wniosku dosz┼éa te┼╝ firma Apple sprzedaj─ůca swoje jedne z najdro┼╝szych owoc├│w na rynku.

Problem 2 ÔÇô letnich okres├│w obowi─ůzywania

W roku 2020 na spotkaniu grupy CA Browser Forum, kt├│ra jest mi─Ödzy innymi odpowiedzialna za standardy SSL, Apple stwierdzi┼éo, ┼╝e zmienia swoj─ů polityk─Ö wzgl─Ödem certyfikat├│w SSL/TL. W efekcie uzna┼éo, ┼╝e certyfikaty wydane na d┼éu┼╝ej ni┼╝ 398 dni po 1 wrze┼Ťnia 2020 nie b─Öd─ů uznawane.

Zmiana mo┼╝e si─Ö wydawa─ç kosmetyczna, ale dlaczego te Mollochy uzna┼éy, ┼╝e certyfikaty wydawane na d┼éu┼╝ej ni┼╝ rok (dwu i wi─Öcej letnie) s─ů gorsze od tych jednorocznych?

Wszystko zaczęło się od tweeta Deana Coclina (pracownika DigiCert).

Dean Coclin Tweet o certyfikatach SSL

Ale czemu to jest wa┼╝ne i co to zmienia?

No czemu nie 2 lata lub wi─Öcej?

Tendencja do skracania okres├│w wa┼╝no┼Ťci certyfikat├│w jest do┼Ť─ç d┼éuga. Pocz─ůwszy od momentu, gdy ustalono, ┼╝e maksymalny okres nie mo┼╝e wynosi─ç wi─Öcej ni┼╝ 10 lat a nast─Öpnie wi─Öcej ni┼╝ 3 lata w roku 2015.

Spytasz dlaczego? Ano powod├│w jest klika:

  • Organizacja, w ci─ůgu tylu lat mo┼╝e zmieni─ç swoje dane przez co certyfikat jest nieaktualny.
  • Przegl─ůdarki zmieniaj─ů swoje polityki rozpoznawalno┼Ťci certyfikat├│w, i jak je wtedy aktualizowa─ç?
  • Zmiany w algorytmach szyfrowania te┼╝ maj─ů kr├│tsze okresy ni┼╝ kilkuletnie, jak wtedy tym zarz─ůdza─ç?

A co na to Apple?

Aplle od 1 wrze┼Ťnia 2020 r. skraca maksymalny dopuszczalny okres wa┼╝no┼Ťci certyfikat├│w SSL do 398 dni. Wiernie cytuj─ůc:

ÔÇ×Po tej dacie po┼é─ůczenia z serwerami TLS naruszaj─ůce ten wym├│g zako┼äcz─ů si─Ö niepowodzeniem. Mo┼╝e to spowodowa─ç awarie sieci i aplikacji oraz uniemo┼╝liwi─ç ┼éadowanie stron internetowych.ÔÇŁ

A co na to Google?

Nie ma do tej pory (chyba) oficjalnego stanowiska. Jednak na pewno dostosowuj─ů si─Ö do tego co si─Ö zmienia, ale czy na dobre?

No ale po co te zmiany?

Nie ma co deliberowa─ç. Im cz─Ö┼Ťciej dane s─ů aktualizowane tym s─ů bardziej wiarygodne. Je┼Ťli co roku trzeba potwierdzi─ç to co si─Ö dzia┼éo lub stan faktyczny to jest to bardziej miarodajne ni┼╝ kontrole co klika lat (proste prawda). Czy jest to krok wstecz czy do przodu trudno okre┼Ťli─ç. Z jednej strony dbamy o u┼╝ytkownik├│w, z drugiej pokazuje si─Ö, ┼╝e technologia jest jeszcze u┼éomna by odpowiednio sprawdza─ç (ale nie kontrolowa─ç cz┼éowieka).

Apple i Google a bezpieczeństwo danych

A TY u┼╝ytkowniku co s─ůdzisz? Wolisz mie─ç wygod─Ö certyfikacji na lata czy bezpiecze┼ästwo regularnej weryfikacji danych? ­čśë

Mo┼╝e Ci si─Ö r├│wnie┼╝ spodoba

Dodaj komentarz

Tw├│j adres email nie zostanie opublikowany. Pola, kt├│rych wype┼énienie jest wymagane, s─ů oznaczone symbolem *