El 31 de agosto fue el último día en que las empresas podían comprar certificados TLS con más de 398 días de duración.
Hasta el último día de agosto fue posible comprar certificados con máximo de 825 días de validez. Los certificados ya extendidos podrán ser utilizados hasta su vencimiento.
Aunque anteriormente se discutieron propuestas sobre una reducción en el periodo de validez de tales certificados, fue una decisión unilateral de Apple adoptada en febrero de este año que decidió el tema. En la oportunidad, Apple anunció que a partir del 1° de septiembre de 2020 su navegador Safari ya no ofrecería soporte para certificados con una validez que excediera los 398 días.
La medida de Apple fue posteriormente secundada por Google y Mozilla. Aunque los emisores de tales certificados anteriormente se habían opuesto a propuestas similares, finalmente todos terminaron alineándose con la posición de Apple y Google, por lo que no ofrecerán certificados TLS con una validez superior a los 398 días.
Hace algunos años incluso era posible comprar certificados SSL y TLS de hasta 10 años de duración. Desde entonces, la validez de los nuevos certificados ha sido reducida considerablemente, en varias oportunidades.
La principal motivación argumentada por las empresas impulsoras de la iniciativa ha sido la seguridad. En primer lugar, durante el periodo de validez de los certificados es posible detectar vulnerabilidades que hacen que las tecnologías de cifrado con las que estos han sido firmados dejen de ser seguras. Se considera entonces importante que estas tecnologías sean desfasadas con la mayor rapidez y, en tal sentido, un período de validez inferior de los certificados contribuye a tal efecto.
Otro factor mencionado es que la prolongada duración de las llaves de cifrado incrementan el riesgo de brechas de seguridad, dando a un potencial atacante la posibilidad de interceptar las comunicaciones o de instalar instancias de phishing. El beneficio de renovar el certificado es evidente, ya que al hacerlo también se cambian las llaves de cifrado.
Un tercer factor es que el certificado TLS conserva su validez después que un dominio ha sido transferido a un nuevo dueño. Esto implica que el propietario anterior del dominio continúa teniendo acceso a un certificado válido, que puede utilizar a voluntad para interceptar o manipular la conexión TLS. En conclusión, al reducirse la validez de los certificados también se reduce el periodo en que estos pueden ser utilizados por actores malignos.
Los sitios web que hasta ahora hayan utilizado certificados con 2 años de duración deberán renovar los mismos con mayor frecuencia a futuro. Para el caso de las empresas propietarias de numerosos dominios, la situación indudablemente ocasionará un mayor trabajo administrativo. En este contexto, cabe señalar que hay soluciones que automatizan la renovación de los certificados, como por ejemplo Let’s Encrypt, que ofrece certificados TLS gratuitos que pueden ser renovados automáticamente con herramientas que soporten el protocolo ACME.
En 2017, Let’s Encrypt enfrentó serias críticas por haber otorgado certificados SSL sitios de phishing (ver artículo relacionado).
Fuente: https://diarioti.com/
Comentarios
Publicar un comentario