Let’s Encrypt در ادامه تلاش‌های خود برای تقویت امنیت، قصد دارد از ۱۰ فوریه ۲۰۲۷، مدت اعتبار گواهی‌های رایگان SSL/TLS را از ۹۰ روز به ۶۴ روز کاهش دهد.
برای مدیران سیستمی که از کلاینت‌های مدرن ACME با پشتیبانی از ARI یا ACME Renewal Information استفاده می‌کنند، این تغییر احتمالا بدون مشکل خاصی انجام خواهد شد. اما برای کسانی که همچنان به زمان‌بندی‌های ثابت و از پیش تعریف‌شده برای تمدید گواهی‌ها یا فرایندهای دستی متکی هستند، فوریه آخرین فرصت برای به‌روزرسانی این سازوکارها خواهد بود؛ در غیر این صورت، ممکن است گواهی‌هایشان به‌طور غیرمنتظره منقضی شوند.
از ۱۴ اکتبر، Let’s Encrypt آزمایش گواهی‌های ۶۴ روزه را آغاز خواهد کرد و کاربران علاقه‌مند می‌توانند به‌صورت داوطلبانه در این مرحله شرکت کنند تا پیش از اعمال تغییرات در محیط عملیاتی (Production)، از عملکرد صحیح زیرساخت‌های خود مطمئن شوند.
پیش از راه‌اندازی Let’s Encrypt در اوایل سال ۲۰۱۶، گواهی‌های دیجیتال اغلب با اعتبار یک تا سه سال صادر می‌شدند. Let’s Encrypt از همان ابتدا گواهی‌های ۹۰ روزه را معرفی کرد تا استفاده از فرایندهای خودکار تمدید گواهی را ترویج کند؛ فرایندهایی که پیش از آن چندان رایج نبودند.
کوتاه‌تر شدن مدت اعتبار گواهی‌ها، خطرات ناشی از سرقت کلیدهای خصوصی (Private Keys) را محدود می‌کرد و در عین حال، به گسترش سریع‌تر استفاده از HTTPS در سراسر وب کمک می‌کرد.
این تصمیم در آن زمان هنجارهای رایج صنعت را تغییر داد. با محدود کردن مدت اعتبار گواهی‌ها، در صورت افشای اطلاعات محرمانه یا صدور اشتباه یک گواهی، بازه زمانی سوءاستفاده از آن کاهش می‌یابد و در نتیجه، احتمال آسیب‌های طولانی‌مدت کمتر می‌شود.
کاهش اعتبار گواهی‌ها به ۶۴ روز نیز در ادامه همین رویکرد است. البته این روند متوقف نخواهد شد و قرار است مدت اعتبار گواهی‌ها در آینده باز هم کوتاه‌تر شود؛ به‌طوری که برای سال ۲۰۲۸، اعتبار پیش‌فرض ۴۵ روزه در نظر گرفته شده است.
همان‌طور که راه‌اندازی اولیه Let’s Encrypt با هدف تشویق کاربران به استفاده از HTTPS انجام شد، کاهش مدت اعتبار گواهی‌ها نیز با هدف سوق دادن کاربران به سمت خودکارسازی کامل فرایند مدیریت و تمدید گواهی‌ها از طریق ACME صورت می‌گیرد.
پروتکل ACME و به‌طور مشخص قابلیت ARI یا ACME Renewal Information، به مرجع صدور گواهی (Certificate Authority یا CA) اجازه می‌دهد زمان مناسب تمدید گواهی را به کلاینت اعلام کند.
با وجود این قابلیت، بسیاری از زیرساخت‌ها همچنان از اسکریپت‌هایی استفاده می‌کنند که تمدید گواهی را براساس بازه‌های زمانی ثابت انجام می‌دهند؛ برای مثال، تنظیم شده‌اند که فرایند تمدید را «۶۰ روز پیش از انقضای گواهی» آغاز کنند.
Let’s Encrypt با انتشار زودهنگام این اطلاعیه، قصد دارد به این دسته از کاربران هشدار دهد که وظایف زمان‌بندی‌شده Cron و دستورالعمل‌های عملیاتی خودکار یا Runbook را بررسی و اصلاح کنند.
توصیه این است که فرایند تمدید به‌صورت خودکار و پس از سپری شدن دو سوم مدت اعتبار گواهی انجام شود. چنین تغییری علاوه بر سازگاری با گواهی‌های ۶۴ روزه، زیرساخت‌ها را برای کاهش بیشتر مدت اعتبار گواهی‌ها به ۴۵ روز در سال ۲۰۲۸ نیز آماده می‌کند.
مدیران وب‌سایت‌ها و زیرساخت‌ها از همین حالا چه اقداماتی می‌توانند انجام دهند؟
Let’s Encrypt برای آماده شدن در برابر این تغییرات، اقدامات زیر را توصیه کرده است:
-
بررسی زمان‌بندی‌های ثابت تمدید گواهی: در فایل‌های پیکربندی و اسکریپت‌ها به دنبال مقادیر ثابتی مانند ۸۳، ۸۰ و ۶۰ بگردید. این اعداد معمولا در سازوکارهای قبلی تمدید گواهی‌های ۹۰ روزه استفاده می‌شدند. زمان‌بندی تمدید باید به‌گونه‌ای اصلاح شود که گواهی‌ها پیش از پایان اعتبار جدید ۶۴ روزه تمدید شوند.
-
بررسی پشتیبانی کلاینت ACME از ARI: مطمئن شوید کلاینت ACME مورد استفاده شما از قابلیت ARI پشتیبانی می‌کند. در غیر این صورت، اسکریپت‌های تمدید گواهی را به‌روزرسانی کنید.
-
فعال‌سازی سیستم‌های هشدار: اطمینان حاصل کنید که برای انقضای گواهی‌ها یا شکست فرایند تمدید، اعلان‌ها و هشدارهای لازم تنظیم شده‌اند.
-
استفاده از دوره آزمایشی: از فرصت آزمایش گواهی‌های ۶۴ روزه که از ۱۴ اکتبر آغاز می‌شود، استفاده کنید تا پیش از اجرای رسمی تغییرات، مشکلات احتمالی را شناسایی و برطرف کنید.
در کنار کاهش مدت اعتبار گواهی‌ها، Let’s Encrypt قصد دارد بازه زمانی اعتبارسنجی‌ها را نیز کوتاه‌تر کند.
مدت زمان مجاز برای استفاده مجدد از مجوزهای اعتبارسنجی (Authorization Reuse Period) از ۳۰ روز به ۱۰ روز کاهش خواهد یافت و در نهایت، تا سال ۲۰۲۸ به تنها هفت ساعت خواهد رسید.
انتظار می‌رود این تغییر، نیاز به بررسی مجدد رکوردهای CAA را از بین ببرد. رکوردهای CAA یا Certificate Authority Authorization مشخص می‌کنند کدام مراجع صدور گواهی مجازند برای یک دامنه گواهی SSL/TLS صادر کنند.
بیشتر مدیران زیرساخت احتمالا متوجه تاثیر مستقیمی از این تغییر نخواهند شد، مگر اینکه کلاینت‌های ACME آن‌ها برای انجام عملیات خود به داده‌های اعتبارسنجی ذخیره‌شده در کش وابسته باشند.
مدیران سیستم حدود چهار ماه فرصت خواهند داشت تا پیش از موعد ۱۰ فوریه، سازوکارهای تمدید خودکار گواهی‌ها را آزمایش و اصلاح کنند. در غیر این صورت، با فرارسیدن زمان اجرای تغییرات، ممکن است به‌دلیل انقضای گواهی‌ها با اختلال یا قطعی سرویس‌های خود مواجه شوند.
