蘋果強勢逼迫整個CA行業進入一年的證書壽命期
蘋果公司在2020年2月單方面做出的一項決定在瀏覽器領域引起了反響,並有效地強勢逼迫證書頒發機構行業接受TLS證書398天的新默認壽命。繼蘋果最初宣布之後,Mozilla和谷歌也表示了類似的意向,將在其瀏覽器中實施同樣的規則。
從2020年9月1日開始,蘋果、谷歌和Mozilla的瀏覽器和設備將對有效期超過398天的新TLS證書顯示錯誤。此舉是一個重要的舉措,因為它不僅改變了互聯網的一個核心部分–TLS證書的工作方式,還因為它打破了正常的行業慣例以及瀏覽器和CA/B論壇的合作。
CA/B論壇,這是一個非正式的組織,由證書頒發機構(CA)、發行用於支持HTTPS流量的TLS證書的公司和瀏覽器製造商組成。自2005年以來,這個小組一直在製定TLS證書的發行規則,以及瀏覽器應該如何管理和驗證它們。瀏覽器和CA通常會對即將出台的規則進行討論,直到他們達成共識,然後他們通過規則,所有成員都會執行。
然而,在其15年的歷史中,有一個話題每次被提起都會引起人們的關注,那就是TLS證書的壽命。TLS的壽命從8年開始,經過多年的發展,瀏覽器廠商對其進行了削足適履,將其降低到5年,然後是3年,再到2年。上一次變化發生在2018年3月,當時瀏覽器製造商試圖將SSL證書壽命從三年減少到一年,但在CA的積極反擊下妥協了兩年。
但幾乎沒有一年的時間,他們就把TLS壽命從三年降到了兩年,瀏覽器製造商又嘗試了一次,這讓CA們大失所望,當時他們認為自己達成了妥協,把這件事給解決了。正如ZDNet去年夏天所報導的那樣,瀏覽器廠商再次嘗試將TLS證書的壽命從兩年降到一年。在2019年9月,由谷歌召集的這項提案的投票失敗了。雖然該提案獲得了瀏覽器廠商100%的支持,但只有35%的CA投票批准了一年的TLS證書壽命。
但在2月份,蘋果打破了CA/B論壇的標準操作程序。蘋果沒有要求投票,而是簡單地宣布決定在其設備上實施398天的壽命,而不管CA/B論壇的CA們對這個問題有什麼看法。兩週後,Mozilla也宣布了同樣的消息,本月初,谷歌也跟進宣布了類似的消息。今年發生的事情,簡單點說,就是表明瀏覽器廠商控制了CA/B論壇,他們完全控制了HTTPS生態系統,而CA只是參與者,沒有實際權力。