398 天变 90 天,媒体示警:TLS / SSL 证书有效期缩短将导致故障激增

1个月前 (02-21) 0 点赞 0 收藏 0 评论 1 已阅读

2 月 20 日消息,谷歌开源浏览器项目 Chromium Project 去年发布倡议,为了构建更安全、更快速、更稳定的互联网环境,计划将传输层安全(TLS)证书的有效期从 398 天缩短到 90 天。

国外科技媒体 betanews 近日发表评论文章,表示谷歌凭借着 Chrome 在桌面浏览器的主导地位,完全可以强制推行该策略,并逐渐普及到所有浏览器中。

而对于使用 TLS 证书的企业(即所有将服务连接到互联网的企业)来说,如果现在不采取相关有效的应对措施,既有可能导致网站链接失效的问题。

注:TLS 证书是一种机器身份,确保系统能够在互联网上安全地相互通信。如果网站在过期前不重新签发或更换证书,就会停止工作,导致代价高昂的中断、破坏和更大的安全风险,用户访问就会出现“无法连接到不受信任的网站”错误。

不断缩短证书有效期

2018 年,证书有效期从 5 年缩短到 2 年,2020 年又缩短到 13 个月。通常来说较短的生命周期有利于网络安全,其原因有以下几点:

如果威胁行为者设法获得了被盗或被泄露的证书,他们利用该证书的机会窗口就会变小。

较短的生命周期还能鼓励更有规律地轮换密钥,简化撤销管理。

企业继续使用过时加密算法的风险更小。

鼓励企业减少对单一证书颁发机构(CA)的依赖。

缩短至 90 天的额外负担

90 天有效期可能会给安全团队带来巨大的额外负担。鉴于最佳实践建议在证书到期前 30 天进行更新,这就需要每年轮换六次 TLS 证书,而现在只需要 1 次。如果不能找到并更换所有证书,可能会导致重大服务 / 应用中断。

随着 TLS / SSL 证书数量的不断激增,这一负担将更加沉重。随着证书数量的不断增加,与机器身份管理相关的复杂性也将随之增加。

同时,对云服务和云的依赖性增加,让 90 天证书的相关问题更加复杂,包括了解哪些证书会过期以及如何更改。

研究显示,截至 2021 年底,每家企业的机器身份平均数量接近 25 万个,预计每年将增长 42%。对于员工人数超过 10,000 人的组织而言,这一数字在 2022 年初上升到 32 万个机器身份,到 2025 年可能翻两番,达到 130 万个。

将这一数量与管理有效期缩短所带来的额外负担相乘,就会导致安全风险和中断不断上升。

缩短至 90 天可能增加商业风险

如果企业无法有效管理每年的大量更新,就可能导致重大故障和安全漏洞。

证书过期意味着网络浏览器、移动应用程序、应用程序接口和其他机器无法对其进行身份验证,从而导致应用程序脱机。

这可能导致面向客户的网站和关键的内部应用程序(如电子邮件服务和 VPN 连接)中断。至少,它会导致网站出现浏览器警告,吓跑客户,并让网络流量被网络犯罪分子截获。

美国政府和 Spotify 等不同组织都亲眼目睹了前一种情况可能造成的影响。调查显示,在过去 12 个月中,83% 的组织遭受过与证书相关的故障,其中四分之一(26%)的组织声称故障影响了关键业务系统。如果缩短证书有效期,此类事件将会增加。

证书过期也会给客户带来风险,因为威胁者更容易成功实施网络钓鱼活动和中间人(MITM)攻击。更多无法验证和证书过期的网站是黑客梦寐以求的,他们会让用户接受错误并直接点击进入他们的攻击。

自动化方案依然存在挑战

要大规模缓解这些挑战,唯一的办法就是在机器身份管理中实现自动化。在动态和短暂的云原生环境中,必须建立一个控制平面来管理机器身份的整个生命周期,并在数据中心和多个云中实现自动化。

人们一直希望 ACME 等技术和 certbot 等开源软件能让自动化变得一劳永逸。但挑战在于,仅靠这些技术并不能确保更改已经完成,也不具备指挥自动化机器人阵列的能力。


本文收录在
0评论

登录

忘记密码 ?

切换登录

注册