7 motivi per ridurre i periodi di validità dei certificati SSL

Tutti i certificati scadono, per loro stessa natura. Il rinnovo forzato dei certificati con cadenza regolare rafforza la sicurezza di qualsiasi implementazione PKI. In particolare, i certificati SSL/TLS pubblicamente affidabili sono stati oggetto di numerose riduzioni dei periodi di validità nel recente passato, e altre sono previste nel prossimo futuro. Se gestita in modo scorretto, questa riduzione della durata massima può comportare un aumento del carico di lavoro e del rischio di interruzione o violazione. Tuttavia, le ragioni per mantenere brevi le durate dei certificati sono molto convincenti.

Nonostante i rischi legati alla scadenza, i periodi di validità dei certificati rimangono fondamentali, in quanto aiutano a risolvere le vulnerabilità della cybersecurity in continua evoluzione. Richiedendo alle organizzazioni di rinnovare e distribuire certificati con miglioramenti di sicurezza aggiornati, si limita la finestra di opportunità per gli aggressori di sfruttare potenziali punti deboli.

La crescente enfasi sulla riduzione della durata dei certificati riflette un più ampio impegno del settore a migliorare la sicurezza informatica e a stare al passo con le minacce emergenti. Ciò è evidente nelle recenti proposte, con Google che ha proposto durate di vita di 90 giorni e Apple che punta a soli 47 giorni. Questi giganti tecnologici non sono soli in questa spinta: anche gli esperti di Sectigo sono entusiasti di questo cambiamento, riconoscendo il suo potenziale per migliorare la sicurezza, semplificare l'efficienza e promuovere l'agilità delle criptovalute.

Parlando dell'urgente necessità di periodi di validità più brevi, Jason Soroko di Sectigo spiega: “È pazzesco pensare a quanto siano lunghi i tempi di vita dei nostri certificati in questo momento. Non si tratta di quanto siano brevi, ma di quanto siano incredibilmente lunghi in questo momento”. Tuttavia, l'attuale durata massima di 398 giorni non rimarrà sempre così lunga, quindi è importante che le aziende si preparino all'inevitabile: periodi di validità brevi e rinnovi frequenti.

Di seguito, analizziamo sette motivi per cui periodi di validità dei certificati più brevi sono vantaggiosi:

1. Ridurre i rischi di compromissione della chiave privata
   
2. Affrontare i problemi di emissione errata e di revoca
   
3. Garantire l'allineamento tra la proprietà del certificato e il controllo del dominio
   
4. Promuovere l'agilità crittografica
   
5. Affrontare i limiti dei metodi di revoca esistenti (come OCSP)
   
6. Attenuare il problema delle CA che non effettuano la revoca.
   
7. Incoraggiare l'automazione

Compromissione della chiave privata

I certificati SSL contengono chiavi pubbliche e private; la chiave pubblica viene utilizzata per crittografare i dati e proteggere le comunicazioni. La chiave privata può decifrare queste informazioni, ma deve essere mantenuta strettamente riservata. Se la chiave privata cade nelle mani sbagliate, gli attacchi man-in-the-middle e le violazioni dei dati potrebbero essere difficili da evitare.

La compromissione della chiave privata è un rischio enorme, al punto che le CA consigliano di revocare i certificati non appena le chiavi private vengono esposte. Storicamente, i certificati avevano spesso periodi di validità di 5 o addirittura 10 anni, lasciandoli vulnerabili allo sfruttamento per un periodo troppo lungo. Le pratiche moderne danno ora priorità a durate più brevi per ridurre al minimo questi rischi. Nel peggiore dei casi, spiega Tim Callan di Sectigo, “vogliamo che il compromesso esista per il minor tempo possibile”. Il modo migliore per raggiungere questo obiettivo è quello di ridurre i periodi di validità, che limitano il lasso di tempo in cui una chiave privata compromessa può essere sfruttata.

Il CA/Browser Forum sottolinea l'importanza della sicurezza delle chiavi private richiedendo alle CA di revocare i certificati compromessi entro 24 ore dal rilevamento, evidenziando ulteriormente la natura critica di questo problema.

Emissione errata e revoca

L'emissione errata di certificati può assumere diverse forme, come ad esempio certificati contenenti informazioni errate, morfologia impropria o altri difetti che ne compromettono la sicurezza. Come spiega Tim Callan, questi problemi possono rendere i certificati “meno sicuri o meno compatibili” di quanto desiderato, creando potenziali vulnerabilità nell'ecosistema.

Idealmente, le emissioni errate vengono scoperte e affrontate rapidamente, ma non sempre ciò accade. Quando questi problemi passano inosservati, i brevi periodi di validità forniscono un ulteriore livello di sicurezza, garantendo che i certificati emessi in modo improprio vengano eliminati più rapidamente.

Allineamento della proprietà del certificato e del controllo del dominio

Come componente fondamentale del processo di emissione dei certificati digitali, la convalida del controllo del dominio (DCV) verifica che le organizzazioni che richiedono i certificati SSL/TLS siano effettivamente proprietarie dei nomi di dominio associati a tali certificati. Tuttavia, come evidenzia Tim Callan, l'attuale processo di DCV presenta lacune significative. In alcuni casi, i certificati possono rimanere validi per lunghi periodi senza riconvalidare la proprietà del dominio, lasciando potenzialmente le vulnerabilità non affrontate.

Ad esempio, in base alle linee guida esistenti, i periodi di riutilizzo dei DCV possono estendersi fino a 398 giorni, lo stesso periodo massimo di validità dei certificati. In teoria, un dominio potrebbe superare i due anni senza essere sottoposto a un nuovo DCV. Questo disallineamento tra la proprietà del certificato e il controllo del dominio crea rischi che una durata di vita del certificato più breve potrebbe contribuire a mitigare, riducendo la finestra di tempo in cui i domini non controllati rimangono associati a certificati attivi. Come osserva Callan, anche gli attuali certificati di un anno possono sembrare eccessivamente lunghi, sottolineando la necessità di un impegno costante per ridurre i periodi di validità dei certificati.

Agilità crittografica

L'agilità crittografica è sempre più vitale nell'attuale panorama digitale in rapida evoluzione, dove le nuove tecnologie, gli algoritmi crittografici e le sfide di sicurezza richiedono un continuo adattamento. Questa agilità sarà ancora più importante con l'aumento del potenziale di deprezzamento degli algoritmi crittografici con l'avvicinarsi dell'era della crittografia postquantistica. A questo punto, i professionisti IT non possono più aspettarsi di affidarsi alle stesse strategie crittografiche per tutta la loro carriera.

La riduzione della durata dei certificati favorisce l'agilità crittografica, accelerando l'adozione di algoritmi più potenti e garantendo la conformità agli standard di sicurezza in evoluzione. Ad esempio, la deprecazione di SHA-1 è avvenuta in un periodo in cui la durata di vita dei certificati era di tre anni, ritardando in modo significativo la transizione verso metodi crittografici più sicuri. Nell'era post-quantistica, in cui la durata di vita degli algoritmi è incerta, certificati più brevi possono contribuire a ridurre i ritardi nell'adozione di soluzioni avanzate.

Al contrario, i tempi di vita più lunghi sono problematici perché, in parole povere, incoraggiano l'autocompiacimento. Non tutte le aziende e le imprese adotteranno in modo proattivo standard crittografici o pratiche di sicurezza migliori fino a quando le scadenze anticipate non le costringeranno a cercare certificati più forti tramite il rinnovo.

I metodi di revoca esistenti (OCSP) non sono perfetti

L'Online Certificate Status Protocol (OCSP) ha lo scopo di determinare lo stato di revoca dei certificati SSL/TLS, il che dovrebbe fornire un metodo più affidabile per individuare e risolvere i certificati compromessi. Purtroppo, OCSP è tutt'altro che perfetto. Infatti, Tim Callan paragona questa strategia a una “cintura di sicurezza che si rompe quando si ha un incidente stradale”. Aggiunge inoltre che l'OCSP è “fondamentalmente disfunzionale”, in quanto può facilmente funzionare come un singolo punto di guasto. Se il server OCSP dovesse essere sovraccarico o non disponibile, i clienti potrebbero essere portati ad accettare i certificati indipendentemente dal loro stato. Inoltre, l'OCSP presenta un problema di privacy in quanto consente il tracciamento del browser, come spiegato nell'episodio 272 del podcast Root Causes.

Questi problemi diventano meno urgenti quando la durata di vita dei certificati è più breve e fornisce un'alternativa affidabile, mitigando efficacemente queste sfide e riducendo del tutto la dipendenza dai meccanismi di revoca.

Le CA non riescono a eseguire la revoca

Oltre all'emissione, la revoca dei certificati rappresenta una delle responsabilità più cruciali delle CA moderne, eppure è spesso gestita male. Alcune CA non riescono a revocare tempestivamente i certificati compromessi, a volte per la riluttanza a creare disagi ai propri abbonati. Questo è un problema ricorrente nel settore, che contribuisce a creare problemi di fiducia e sottolinea la necessità di soluzioni migliori.

La riduzione della durata di vita dei certificati offre una soluzione pratica, riducendo la dipendenza da pratiche di revoca errate. Come osserva Tim Callan, se un certificato ha una durata massima di soli 47 giorni, limita intrinsecamente il tempo in cui un certificato compromesso può rimanere attivo, anche se i processi di revoca vengono ritardati o falliscono del tutto.

Incoraggiare l'automazione

I tempi di vita più brevi possono inizialmente sembrare un ostacolo per le organizzazioni che si affidano a processi manuali di rinnovo dei certificati ormai obsoleti, ma sono anche un potente catalizzatore per l'adozione di soluzioni automatizzate. L'automazione accelera il rinnovo dei certificati e conferisce maggiore affidabilità al processo: con le soluzioni automatizzate, non è necessario tenere traccia manualmente delle date di scadenza o preoccuparsi dei rinnovi mancati.

Nonostante questi vantaggi, molte organizzazioni sono state lente nell'adottare soluzioni automatizzate.

Questa riluttanza può derivare da una semplice (ma problematica) resistenza al cambiamento, con le organizzazioni che potenzialmente giustificano l'uso di metodi manuali perché attualmente sembrano essere al passo con le esigenze dei certificati. Tuttavia, con l'accorciarsi della durata di vita dei certificati, questa compiacenza diventa insostenibile. La riduzione della durata di vita dei certificati crea un punto di svolta in cui le organizzazioni riconoscono che l'automazione non è più facoltativa, favorendo un'adozione più ampia di queste soluzioni.

Questo passaggio all'automazione è una delle motivazioni principali alla base degli sforzi di Apple e Chrome per ridurre i periodi di validità dei certificati.

Sfide e considerazioni

Periodi di validità più brevi possono essere necessari, ma potrebbero anche presentare sfide importanti per le organizzazioni che si affidano ancora a processi manuali. L'aumento delle spese amministrative è prevedibile e la maggiore frequenza dei rinnovi aumenta significativamente il rischio di errori umani, che potrebbero causare interruzioni dei certificati e disservizi.

L'automazione può aiutare a risolvere questi problemi, ma è essenziale un approccio proattivo; questa transizione richiede tempo e sarà più facile da gestire prima, non dopo, la riduzione della durata dei certificati.

Abbracciare durate di vita dei certificati più brevi per una maggiore sicurezza

La riduzione della durata dei certificati è in arrivo e non deve essere temuta, ma piuttosto accolta come un'opportunità per migliorare la sicurezza informatica e la conformità. Le soluzioni automatizzate possono rendere questa transizione molto più semplice, aiutando le aziende a mantenere la massima visibilità e controllo.

Siete pronti a fare questa transizione? Rivolgetevi a Sectigo Certificate Manager (SCM) per una gestione semplificata del ciclo di vita dei certificati. Offrendo una visibilità completa attraverso una piattaforma cloud-nativa appositamente costruita, SCM ottimizza i processi CLM essenziali come la scoperta, l'emissione, la distribuzione, la revoca e il rinnovo. Preparatevi alla riduzione della durata dei certificati e sfruttate la potenza dell'automazione.

Scopri di più? Contattateci per prenotare una demo di Sectigo Certificate Manager!

Messaggi relativi:

FAQ sui certificati SSL: La vostra guida completa dalle basi ai principi avanzati

I rischi di ignorare l'ACME nell'era dell'SSL a 90 e 47 giorni

Come le aziende possono prepararsi al ciclo di vita dei certificati di 47 giorni: Cosa significa e i recenti aggiornamenti