398天变90天，媒体示警:TLS/SSL证书有效期缩短将导致故障激增

IT之家 2 月 20 日消息，谷歌开源浏览器项目 Chromium Project 去年发布倡议，为了构建更安全、更快速、更稳定的互联网环境，计划将传输层安全（TLS）证书的有效期从 398 天缩短到 90 天。

国外科技媒体 betanews 近日发表评论文章，表示谷歌凭借着 Chrome 在桌面浏览器的主导地位，完全可以强制推行该策略，并逐渐普及到所有浏览器中。

而对于使用 TLS 证书的企业（即所有将服务连接到互联网的企业）来说，如果现在不采取相关有效的应对措施，既有可能导致网站链接失效的问题。

IT之家注：TLS 证书是一种机器身份，确保系统能够在互联网上安全地相互通信。如果网站在过期前不重新签发或更换证书，就会停止工作，导致代价高昂的中断、破坏和更大的安全风险，用户访问就会出现“无法连接到不受信任的网站”错误。

不断缩短证书有效期

2018 年，证书有效期从 5 年缩短到 2 年，2020 年又缩短到 13 个月。通常来说较短的生命周期有利于网络安全，其原因有以下几点：

• 果威胁行为者设法获得了被盗或被泄露的证书，他们利用该证书的机会窗口就会变小。

• 较短的生命周期还能鼓励更有规律地轮换密钥，简化撤销管理。

• 企业继续使用过时加密算法的风险更小。

• 鼓励企业减少对单一证书颁发机构（CA）的依赖。

缩短至 90 天的额外负担

90 天有效期可能会给安全团队带来巨大的额外负担。鉴于最佳实践建议在证书到期前 30 天进行更新，这就需要每年轮换六次 TLS 证书，而现在只需要 1 次。如果不能找到并更换所有证书，可能会导致重大服务 / 应用中断。

随着 TLS / SSL 证书数量的不断激增，这一负担将更加沉重。随着证书数量的不断增加，与机器身份管理相关的复杂性也将随之增加。

同时，对云服务和云的依赖性增加，让 90 天证书的相关问题更加复杂，包括了解哪些证书会过期以及如何更改。

研究显示，截至 2021 年底，每家企业的机器身份平均数量接近 25 万个，预计每年将增长 42%。对于员工人数超过 10,000 人的组织而言，这一数字在 2022 年初上升到 32 万个机器身份，到 2025 年可能翻两番，达到 130 万个。

将这一数量与管理有效期缩短所带来的额外负担相乘，就会导致安全风险和中断不断上升。

缩短至 90 天可能增加商业风险

如果企业无法有效管理每年的大量更新，就可能导致重大故障和安全漏洞。

证书过期意味着网络浏览器、移动应用程序、应用程序接口和其他机器无法对其进行身份验证，从而导致应用程序脱机。

这可能导致面向客户的网站和关键的内部应用程序（如电子邮件服务和 VPN 连接）中断。至少，它会导致网站出现浏览器警告，吓跑客户，并让网络流量被网络犯罪分子截获。

美国政府和 Spotify 等不同组织都亲眼目睹了前一种情况可能造成的影响。调查显示，在过去 12 个月中，83% 的组织遭受过与证书相关的故障，其中四分之一（26%）的组织声称故障影响了关键业务系统。如果缩短证书有效期，此类事件将会增加。

证书过期也会给客户带来风险，因为威胁者更容易成功实施网络钓鱼活动和中间人（MITM）攻击。更多无法验证和证书过期的网站是黑客梦寐以求的，他们会让用户接受错误并直接点击进入他们的攻击。

自动化方案依然存在挑战

要大规模缓解这些挑战，唯一的办法就是在机器身份管理中实现自动化。在动态和短暂的云原生环境中，必须建立一个控制平面来管理机器身份的整个生命周期，并在数据中心和多个云中实现自动化。

人们一直希望 ACME 等技术和 certbot 等开源软件能让自动化变得一劳永逸。但挑战在于，仅靠这些技术并不能确保更改已经完成，也不具备指挥自动化机器人阵列的能力。