Chrome e Firefox: 398 giorni per un certificato

I certificati per le connessioni sicure su HTTPS (HyperText Transfer Protocol over Secure Socket Layer) non potranno avere una durata superiore ai 398 giorni per i browser Web Google Chrome e Mozilla Firefox. Tale aggiornamento arriva a qualche mese di distanza da quello effettuato dagli sviluppatori della Casa di Cupertino che hanno imposto lo stesso limite massimo per Apple Safari.

Browser vendor Vs. Certification Authority

Tale novità ha un’importanza rilevante anche dal punto di vista commerciale, soprattutto in considerazione del fatto che le Certification Authority, riunite nel CA/B Forum, hanno sempre dimostrato di preferire un periodo di validità ben più lungo. A tal proposito basti pensare che in origine un certificato veniva considerato valido per ben 8 anni, successivamente si è optato per delle riduzioni sensibili passando a 5 anni e poi a soli 3 anni, sempre su pressione dei browser vendor.

Questi ultimi hanno però ritenuto che un triennio di validità fosse comunque inadatto per garantire un livello di sicurezza sufficiente ed è divenuta promotrice di una trattativa durante la quale i produttori di browser Internet cercavano di imporre un arco temporale non superiore ai 12 mesi.

Dopo un primo accordo con le Certification Authority che prevedeva di passare dai 3 anni ai 2, recentemente si è finalmente deciso di fissare la scadenza dopo 398 giorni dalla data di rilascio.

Processi di revoca e implicazioni per la sicurezza

La posizione dei browser vendor in merito è giustificata da una semplice osservazione: per ragioni facilmente comprensibili i certificati più datati sono spesso oggetto di maggiori attenzioni da parte degli utenti malevoli, garantire un periodo di validità prolungato a un certificato significa anche offrire maggiori opportunità di trasformarlo in un potenziale veicolo per la diffusione di malware e altre attività dannose come il phishing.

L’esigenza di ridurre il periodo di validità dei certificati non sarebbe mai sorta se il loro processo di revoca fosse meno confusionario, nel corso degli anni infatti diversi certificati vulnerabili sono rimasti in circolazione proprio in virtù del loro periodo validità.

Una durata più breve si tradurrà in un maggior impegno da parte di chi gestisce i siti Web che dovrà intervenire più frequentemente per il rinnovo dei certificati. Nel breve periodo gli errori in navigazione potrebbero quindi moltiplicarsi ma nel medio periodo si dovrebbero avere maggiori garanzie in termini di sicurezza e, in ogni caso, il nuovo periodo di validità entrerà in vigore entro l’1 settembre 2020.

Fonte: Mozilla