7 Gründe für kürzere Gültigkeitszeiträume von SSL-Zertifikaten

Alle Zertifikate laufen ab, das ist so vorgesehen. Die regelmäßige Erneuerung von Zertifikaten erhöht die Sicherheit jeder PKI-Implementierung. Insbesondere bei öffentlich vertrauenswürdigen SSL/TLS-Zertifikaten wurden die Gültigkeitszeiträume in der jüngeren Vergangenheit mehrfach verkürzt, und in absehbarer Zukunft ist mit weiteren Kürzungen zu rechnen. Bei unsachgemäßer Handhabung kann diese Verkürzung der maximalen Laufzeit zu einem erhöhten Arbeitsaufwand und dem Risiko von Ausfällen oder Sicherheitsverletzungen führen. Dennoch gibt es überzeugende Gründe, die Lebensdauer von Zertifikaten kurz zu halten.

Trotz der Risiken des Auslaufens bleiben Zertifikatsgültigkeitszeiträume von entscheidender Bedeutung, da sie dazu beitragen, neu auftretende Cybersicherheitslücken zu schließen. Indem sie Organisationen dazu verpflichten, Zertifikate mit aktualisierten Sicherheitsverbesserungen zu erneuern und einzusetzen, schränken sie die Möglichkeiten für Angreifer ein, potenzielle Schwachstellen auszunutzen.

Die zunehmende Betonung kürzerer Zertifikatslaufzeiten spiegelt das breitere Engagement der Branche wider, die Cybersicherheit zu verbessern und aufkommenden Bedrohungen immer einen Schritt voraus zu sein. Dies zeigt sich in jüngsten Vorschlägen, in denen Google 90-tägige Laufzeiten und Apple nur 47 Tage vorschlägt. Diese Technologiegiganten sind mit ihrem Vorstoß bei weitem nicht allein – auch die Experten von Sectigo sind von dieser Entwicklung begeistert und erkennen ihr Potenzial zur Verbesserung der Sicherheit, zur Steigerung der Effizienz und zur Förderung der Krypto-Agilität.

Jason Soroko von Sectigo spricht von der dringenden Notwendigkeit kürzerer Gültigkeitsfristen und erklärt: „Es ist einfach verrückt, wenn man bedenkt, wie lange unsere Zertifikate derzeit gültig sind. Es geht nicht darum, wie kurz sie sind, sondern wie unglaublich lang sie im Moment noch sind.“ Die derzeitige maximale Lebensdauer von 398 Tagen wird jedoch nicht immer so lang bleiben, daher ist es für Unternehmen wichtig, sich auf das Unvermeidliche vorzubereiten: kurze Gültigkeitszeiträume und häufige Erneuerungen.

Im Folgenden untersuchen wir sieben Gründe, warum kürzere Gültigkeitszeiträume für Zertifikate von Vorteil sind:

1. - Reduzierung der Risiken durch Kompromittierung privater Schlüssel
   
2. - Behebung von Problemen bei der fehlerhaften Ausstellung und Sperrung
   
3. Sicherstellen der Übereinstimmung von Zertifikatsbesitz und Domainkontrolle
   
4. Förderung der kryptografischen Agilität
   
5. Beseitigung der Einschränkungen bestehender Sperrmethoden (wie OCSP)
   
6. Minderung des Problems, dass Zertifizierungsstellen Sperrungen nicht durchführen
   
7. Förderung der Automatisierung

Kompromittierung privater Schlüssel

SSL-Zertifikate enthalten öffentliche und private Schlüssel, wobei der öffentliche Schlüssel zur Verschlüsselung von Daten und zur Sicherung der Kommunikation verwendet wird. Der private Schlüssel kann diese Informationen entschlüsseln, muss aber streng vertraulich behandelt werden. Sollte der private Schlüssel in die falschen Hände geraten, könnten Man-in-the-Middle-Angriffe und Datenlecks nur schwer zu vermeiden sein.

Die Kompromittierung des privaten Schlüssels stellt ein enormes Risiko dar, sodass Zertifizierungsstellen dazu raten, Zertifikate zu widerrufen, sobald private Schlüssel offengelegt werden. In der Vergangenheit hatten Zertifikate oft eine Gültigkeitsdauer von 5 oder sogar 10 Jahren, sodass sie viel zu lange anfällig für Missbrauch waren. Moderne Verfahren setzen nun auf kürzere Laufzeiten, um diese Risiken zu minimieren. Im schlimmsten Fall, so Tim Callan von Sectigo, „möchten wir, dass diese Gefährdung so kurz wie möglich andauert.“ Dies lässt sich am besten durch noch kürzere Gültigkeitszeiträume erreichen, die den Zeitraum begrenzen, in dem ein kompromittierter privater Schlüssel ausgenutzt werden kann.

Das CA/Browser Forum betont die Bedeutung der Sicherheit privater Schlüssel, indem es Zertifizierungsstellen dazu verpflichtet, kompromittierte Zertifikate innerhalb von 24 Stunden nach ihrer Entdeckung zu widerrufen, was die Brisanz dieses Themas weiter unterstreicht.

Falsche Ausstellung und Widerruf

Die falsche Ausstellung von Zertifikaten kann viele Formen annehmen, z. B. Zertifikate mit falschen Informationen, falscher Morphologie oder anderen Mängeln, die ihre Sicherheit gefährden. Wie Tim Callan erklärt, können diese Probleme dazu führen, dass Zertifikate „weniger sicher oder weniger kompatibel“ sind als gewünscht, wodurch potenzielle Schwachstellen im Ökosystem entstehen.

Im Idealfall werden fehlerhafte Zertifikate schnell entdeckt und behoben – aber das ist nicht immer der Fall. Wenn solche Probleme unbemerkt bleiben, bieten kurze Gültigkeitszeiträume eine zusätzliche Sicherheitsebene, indem sie sicherstellen, dass falsch ausgestellte Zertifikate schneller aus dem Verkehr gezogen werden.

Abstimmung von Zertifikatsbesitz und Domainkontrolle

Als wichtiger Bestandteil des Ausstellungsprozesses für digitale Zertifikate überprüft die Domain Control Validation (DCV), ob die Organisationen, die SSL/TLS-Zertifikate anfordern, tatsächlich die Eigentümer der mit diesen Zertifikaten verbundenen Domainnamen sind. Wie Tim Callan betont, weist der aktuelle DCV-Prozess jedoch erhebliche Lücken auf. In einigen Fällen können Zertifikate über längere Zeiträume gültig bleiben, ohne dass der Domainbesitz erneut überprüft wird, wodurch potenzielle Schwachstellen unentdeckt bleiben.

Nach den bestehenden Richtlinien können sich die Wiederverwendungszeiträume für DCV beispielsweise auf bis zu 398 Tage erstrecken – das entspricht der maximalen Gültigkeitsdauer von Zertifikaten. Theoretisch könnte eine Domain also mehr als zwei Jahre ohne erneute DCV auskommen. Diese Diskrepanz zwischen Zertifikatsbesitz und Domainkontrolle birgt Risiken, die durch kürzere Laufzeiten von Zertifikaten gemindert werden könnten, indem das Zeitfenster, in dem ungeprüfte Domains mit aktiven Zertifikaten verbunden bleiben, reduziert wird. Wie Callan anmerkt, können selbst die heutigen einjährigen Zertifikate übermäßig lang erscheinen, was die Notwendigkeit kontinuierlicher Bemühungen zur Verkürzung der Gültigkeitsdauer von Zertifikaten unterstreicht.

Kryptografische Agilität

Kryptografische Agilität wird in der sich schnell verändernden digitalen Landschaft von heute, in der neue Technologien, kryptografische Algorithmen und Sicherheitsherausforderungen eine kontinuierliche Anpassung erfordern, immer wichtiger. Diese Agilität wird noch wichtiger sein, da das Potenzial für die Veralterung kryptografischer Algorithmen mit dem Herannahen der Post-Quanten-Kryptographie-Ära zunimmt. IT-Fachkräfte können sich nicht mehr darauf verlassen, dass sie sich während ihrer gesamten Karriere auf dieselben kryptografischen Strategien verlassen können.

Kürzere Laufzeiten von Zertifikaten fördern die Krypto-Agilität, indem sie die Einführung stärkerer Algorithmen beschleunigen und die Einhaltung sich weiterentwickelnder Sicherheitsstandards sicherstellen. So erfolgte die Ablösung von SHA-1 beispielsweise zu einer Zeit, in der die Laufzeiten von Zertifikaten bis zu drei Jahre betrugen, was den Übergang zu sichereren kryptografischen Methoden erheblich verzögerte. In der Post-Quanten-Ära, in der die Lebensdauer von Algorithmen ungewiss ist, können kürzere Zertifikate dazu beitragen, Verzögerungen bei der Einführung fortschrittlicher Lösungen zu verringern.

Im Gegensatz dazu sind längere Lebensdauern problematisch, weil sie, einfach ausgedrückt, zur Selbstgefälligkeit verleiten. Nicht alle Unternehmen und Betriebe werden proaktiv verbesserte kryptografische Standards oder Sicherheitspraktiken einführen, bis sie durch das erwartete Auslaufen von Zertifikaten gezwungen sind, sich im Rahmen der Erneuerung nach stärkeren Zertifikaten umzusehen.

Bestehende Sperrverfahren (OCSP) sind nicht perfekt

Das Online Certificate Status Protocol (OCSP) dient dazu, den Sperrstatus von SSL/TLS-Zertifikaten zu ermitteln, was eine zuverlässigere Methode zur Erkennung und Behebung von kompromittierten Zertifikaten bieten soll. Leider ist OCSP alles andere als perfekt. Tatsächlich vergleicht Tim Callan diese Strategie mit einem „Sicherheitsgurt, der bei einem Autounfall reißt.“ Er fügt hinzu, dass OCSP „grundsätzlich überwindbar ist,“ da es leicht als Single Point of Failure fungieren kann. Sollte der OCSP-Server überlastet oder anderweitig nicht verfügbar sein, könnten Kunden dazu neigen, Zertifikate unabhängig von ihrem Status zu akzeptieren. Darüber hinaus hat OCSP ein Datenschutzproblem, da es die Nachverfolgung von Browsern ermöglicht, wie in Folge 272 des Podcasts „Root Causes“ erläutert wird.

Diese Probleme verlieren an Dringlichkeit, da kürzere Laufzeiten von Zertifikaten eine zuverlässige Übergangslösung bieten und diese Herausforderungen wirksam mindern, indem sie die Abhängigkeit von Sperrmechanismen insgesamt verringern.

Zertifizierungsstellen, die Zertifikate nicht sperren

Über die Ausstellung hinaus stellt die Sperrung von Zertifikaten eine der wichtigsten Aufgaben moderner Zertifizierungsstellen dar, wird jedoch häufig falsch gehandhabt. Einige Zertifizierungsstellen sperren kompromittierte Zertifikate nicht umgehend, manchmal aus Angst, ihren Abonnenten Unannehmlichkeiten zu bereiten. Dieses Problem ist in der Branche ein wiederkehrendes Problem, das zu Vertrauensproblemen beiträgt und die Notwendigkeit besserer Lösungen unterstreicht.

Eine kürzere Lebensdauer von Zertifikaten bietet eine praktische Lösung, da sie die Abhängigkeit von fehlerhaften Widerrufspraktiken verringert. Wie Tim Callan feststellt, ist die maximale Lebensdauer eines Zertifikats auf nur 47 Tage begrenzt, wodurch die Zeit, in der ein kompromittiertes Zertifikat aktiv bleiben kann, von Natur aus begrenzt ist, selbst wenn Widerrufsprozesse verzögert werden oder ganz fehlschlagen.

Förderung der Automatisierung

Eine kürzere Lebensdauer mag für Organisationen, die auf veraltete manuelle Verfahren zur Erneuerung von Zertifikaten angewiesen sind, zunächst wie ein Hindernis erscheinen, aber sie sind auch ein starker Katalysator für die Einführung automatisierter Lösungen. Die Automatisierung beschleunigt die Erneuerung von Zertifikaten und erhöht die Zuverlässigkeit dieses Prozesses. Mit automatisierten Lösungen ist es nicht mehr nötig, Ablaufdaten manuell zu verfolgen oder sich über versäumte Erneuerungen Gedanken zu machen.

Trotz dieser Vorteile zögern viele Organisationen, automatisierte Lösungen einzuführen.

Diese Zurückhaltung kann auf eine einfache (aber problematische) Abneigung gegen Veränderungen zurückzuführen sein, wobei Organisationen die Verwendung manueller Methoden möglicherweise damit rechtfertigen, dass sie derzeit mit den Anforderungen an Zertifikate Schritt halten. Mit der Verkürzung der Lebensdauer von Zertifikaten wird diese Selbstgefälligkeit jedoch untragbar. Kürzere Lebensdauern schaffen einen Wendepunkt, an dem Organisationen erkennen, dass Automatisierung nicht mehr optional ist, was zu einer breiteren Akzeptanz dieser Lösungen führt.

Dieser Trend zur Automatisierung ist eine der Hauptmotivationen hinter den Bemühungen von Apple und Chrome, die Gültigkeitsdauer von Zertifikaten zu verkürzen.

Herausforderungen und Überlegungen

Kürzere Gültigkeitszeiträume mögen notwendig sein, sie könnten jedoch auch eine große Herausforderung für Unternehmen darstellen, die noch immer auf manuelle Prozesse angewiesen sind. Es ist mit einem erhöhten Verwaltungsaufwand zu rechnen, und die erhöhte Erneuerungshäufigkeit erhöht das Risiko menschlicher Fehler erheblich, was zu Ausfällen und Unterbrechungen von Zertifikaten führen könnte.

Automatisierung kann helfen, diese Probleme zu lösen, aber ein proaktiver Ansatz ist unerlässlich; dieser Übergang braucht Zeit und wird einfacher zu bewältigen sein, bevor, nicht nachdem, die Lebensdauer von Zertifikaten verkürzt wird.

Kürzere Laufzeiten von Zertifikaten für mehr Sicherheit nutzen

Kürzere Laufzeiten von Zertifikaten sind auf dem Vormarsch – und diese sollten nicht gefürchtet, sondern als Chance zur Verbesserung der Cybersicherheit und Compliance genutzt werden. Automatisierte Lösungen können diesen Übergang erheblich erleichtern und Unternehmen dabei helfen, maximale Transparenz und Kontrolle zu bewahren.

Sind Sie bereit für diesen Übergang? Der Sectigo Certificate Manager (SCM) bietet eine optimierte Verwaltung des Lebenszyklus von Zertifikaten. SCM bietet vollständige Transparenz über eine speziell entwickelte, Cloud-native Plattform und optimiert wesentliche CLM-Prozesse wie Erkennung, Ausstellung, Bereitstellung, Widerruf und Erneuerung. Bereiten Sie sich auf die kürzere Lebensdauer von Zertifikaten vor und nutzen Sie die Vorteile der Automatisierung.

Möchten Sie mehr erfahren? Nehmen Sie Kontakt auf und buchen Sie eine Demo von Sectigo Certificate Manager!

Verwandte Beiträge:

SSL-Zertifikat-FAQs: Ihr umfassender Leitfaden von den Grundlagen bis zu fortgeschrittenen Prinzipien

Die Risiken, ACME in der 90-Tage- und 47-Tage-SSL-Ära zu ignorieren

47-Tage-SSL-Zertifikatslaufzeit: Bedeutung und Vorbereitung für Unternehmen