Previsione per il 2024: nessuna organizzazione sarà immune dalle sfide poste dalla riduzione della durata dei certificati digitali
Nel 2024, la durata dei certificati digitali continuerà a ridursi, con Google Chrome che spinge per certificati di 90 giorni. Le aziende devono automatizzare la gestione per evitare interruzioni, falle nella sicurezza e problemi di conformità. Scopri come prepararti.
Le aziende si stanno preparando a un cambiamento radicale nel 2024 che promette di sconvolgere le basi stesse dei loro protocolli di sicurezza digitale. La durata massima consentita per i certificati digitali di molte forme si sta riducendo e questa tendenza continuerà man mano che gli organismi del settore saranno sempre più convinti che i certificati a breve termine siano fondamentalmente più sicuri. Nel corso del prossimo anno le aziende investiranno molto in soluzioni automatizzate in modo da essere pronte per le riduzioni massime di durata che verranno. Poiché la durata consentita per i certificati che abilitano tutti i processi e gli ambienti digitali continua a diminuire, le aziende dovranno affrontare grandi sfide per stare al passo con la nuova cadenza di sostituzione che richiederanno.
Una delle prossime azioni è che i principali programmi di root store porteranno la riduzione dei certificati TLS a un massimo di 90 giorni di durata. Google Chrome specifica la sua intenzione di imporre questa riduzione nel suo sito Moving Forward, Together. Le organizzazioni dovranno affrontare la sfida di aggiornare i loro processi e sistemi per adattarsi a questi nuovi certificati di breve durata. L'imminente passaggio a una durata dei certificati ancora più breve richiede un approccio proattivo e automatizzato, che obbliga le aziende a rivalutare e adattare i loro principi fondamentali di sicurezza per un panorama destinato a una continua trasformazione.
Questa apertura non spiega il fatto fondamentale che la durata dei certificati si sta accorciando.
L'evoluzione dei certificati digitali
I certificati digitali sono stati a lungo la base della sicurezza online, consentendo comunicazioni e trasmissioni dati sicure su Internet. Tali certificati vengono rilasciati dalle Certificate Authority (CA) per autenticare l'identità dei server web e garantire che gli utenti si colleghino a piattaforme legittime e sicure. Tuttavia, il panorama sta cambiando rapidamente e le aziende devono affrontare la realtà che la durata di tutti i loro certificati cruciali si ridurrà sostanzialmente man mano che i certificati a breve termine diventeranno la nuova normalità.
La gestione manuale tradizionale dei certificati può compromettere la presenza digitale di un'organizzazione, poiché i processi manuali non sono adatti alla gestione e al rinnovo delle credenziali a breve termine. I certificati a vita più breve sono più sicuri perché il rischio di un certificato difettoso, di una chiave rubata o di altri problemi è semplicemente inferiore. Inoltre, creano sistemi più agili dal punto di vista crittografico, poiché i certificati in produzione vengono rinnovati più rapidamente.
Ma i certificati a vita più breve richiedono anche un rinnovo molto più frequente e se questi rinnovi non avvengono in tempo e correttamente, i sistemi, le applicazioni o le funzioni possono semplicemente smettere di funzionare o smettere di funzionare correttamente. Questo può portare a interruzioni del servizio, perdita di entrate, violazioni degli SLA, violazioni e riduzione della soddisfazione del cliente.
I browser in prima linea
La forza trainante di questo imminente sconvolgimento è lo sforzo concertato dei principali browser web per migliorare la sicurezza online. La proposta di Chrome è la punta di diamante di uno sforzo collaborativo all'interno del settore per supportare controlli più severi e risposte più rapide alle minacce emergenti, e altri importanti browser web probabilmente adotteranno politiche simili. Sebbene questa mossa sia indubbiamente volta a rafforzare la sicurezza informatica, i suoi effetti a catena porteranno le aziende a rinnovare le loro strategie di certificazione a livello aziendale.
La necessità di una sostituzione tempestiva e senza soluzione di continuità dei certificati è fondamentale, poiché questi elementi fondamentali della sicurezza rischiano di diventare notevolmente difficili da sostituire una volta che la nuova politica entrerà in vigore. La prospettiva che alle aziende venga tirato il tappeto da sotto i piedi non è un'iperbole; è una dura realtà che richiede un'attenzione immediata e una pianificazione strategica.
La spinta verso una maggiore brevità
Oltre alla pressione dei browser per rinnovamenti più frequenti, ci sono altri eventi che dimostrano come i certificati più brevi siano diventati una tendenza diffusa nella sicurezza informatica. L'adozione nel 2023 dei requisiti di base per S/MIME (Secure/Multipurpose Internet Mail Extensions) ha limitato questi certificati a due o tre anni di durata, per la prima volta in assoluto, e si prevede che in futuro tutti i certificati S/MIME saranno limitati a due anni senza eccezioni. Allo stesso modo, i principali programmi di root stanno limitando la durata dei certificati di root a quindici anni, con un piano di deprecazione per i root più vecchi, e questi stessi programmi di root hanno telegrafato il loro desiderio di ridurre eventualmente la durata massima di un certificato di root a sette anni.
Ciò riflette un riconoscimento generale del valore di una durata più breve dei certificati e un'azione proattiva per realizzarli.
Questi eventi del settore sono in linea con la tendenza più ampia di abbreviare i cicli di vita dei certificati digitali per affrontare le minacce emergenti e promuovere un ambiente online più sicuro, con la proposta di un ciclo di vita dei certificati di 90 giorni che spinge questa conversazione in ogni sala del consiglio di amministrazione delle aziende.
Niente panico, preparatevi!
Smettete di farsi prendere dal panico e iniziate a prepararvi.
C'è ancora incertezza su quando avverrà il passaggio ai certificati di 90 giorni. Ma avverrà, e l'unica domanda è quando. La preparazione per un cambiamento di questa portata non dovrebbe essere affrettata, e alle aziende è stata data l'opportunità di prepararsi a fondo.
I passi che le aziende dovrebbero compiere sono esattamente gli stessi che sono appropriati per i certificati di 398 giorni:
- Individuazione / Visibilità: sviluppare una comprensione di dove si trovano tutti i certificati nella rete.
- Automazione: automatizzare l'intero ciclo di vita con avvisi, rinnovi e provisioning.
- Responsabilità: definire la proprietà dei certificati e delegare la responsabilità per il ciclo di vita del certificato.
- Politica e processo: semplificare le richieste e le approvazioni dei certificati con strumenti self-service.
Il cambiamento nella durata dei certificati digitali richiede un approccio proattivo, che obbliga le organizzazioni a rivalutare le loro strategie di sicurezza informatica e a rafforzare le loro difese contro le sfide imminenti.
Nessuna incertezza sul se. Zero incertezza.
Sforzi collaborativi per un futuro sicuro
Di fronte a questo cambiamento imminente, la collaborazione tra aziende, autorità di certificazione e sviluppatori di browser web diventa fondamentale. Canali di comunicazione aperti sono essenziali per affrontare le sfide poste dalla ridotta durata dei certificati digitali. Si consiglia alle aziende di impegnarsi attivamente con le loro CA pubbliche per rimanere informate sui cambiamenti delle politiche, sulle migliori pratiche del settore e sulle potenziali soluzioni per facilitare la transizione.
Pianificazione strategica e adeguamento al futuro
Le aziende che affrontano la proliferazione di certificati a breve termine in modo strategico saranno meglio posizionate per mantenere la resilienza informatica in tutta la loro organizzazione. Le strategie di successo implicano non solo lo sviluppo di un piano completo per la sostituzione dei certificati, ma anche misure di sicurezza a prova di futuro contro ulteriori cambiamenti nel panorama della sicurezza informatica. Misure proattive, come l'implementazione dell'automazione per il rinnovo dei certificati e il rimanere al passo con le tecnologie emergenti, possono aiutare le aziende a stare al passo con i tempi.
Noi di Sectigo disponiamo di una piattaforma universale appositamente progettata per gestire i cicli di vita dei certificati digitali, offrendo alle aziende di tutte le dimensioni piena visibilità su tutte le operazioni relative ai certificati da un'unica interfaccia. Sectigo Certificate Manager si integra con i principali fornitori di tecnologia e può rilevare qualsiasi certificato pubblico o privato all'interno della rete di qualsiasi organizzazione, isolando l'azienda dalle conseguenze di attacchi informatici e interruzioni.
In definitiva, non si può gestire ciò che non si può vedere, quindi con la riduzione della durata dei certificati e la crittografia post-Quantum all'orizzonte, diventare cripto-agili e pronti ad adottare soluzioni orientate al futuro non è mai stato così importante.
Un'opportunità di crescita
Il panorama digitale è in continua evoluzione e le aziende devono adattarsi ai cambiamenti della sicurezza informatica per salvaguardare i propri beni e mantenere la fiducia dei propri clienti. Adottando un approccio proattivo e collaborativo, le aziende possono affrontare queste sfide e uscirne più forti, facendo in modo che il terreno sotto i loro piedi non diventi una minaccia, ma un'opportunità di crescita e resilienza nell'era digitale.
Per tutto il mese di dicembre, analizzeremo le tendenze e le previsioni per il 2024. Leggi la nostra precedente previsione per il 2024.