SSL Sertifika Ömrünü Kısaltacak Yeni CA / B Forumu Önerisi(SSL Ömrü 1 Yıla Düşüyor) - R10.net
  • 13-08-2019, 09:51:43
    #1
    Son CA/B Forumu'nda gelen öneri ile güvenlik sertifikalarının ömrü 13 aya düşürülecektir. Mart 2018 de sertifikaların geçerlilikleri 27 aya indirildikten sonra son CA/B forumu'nda alınan öneri ile beraber, Mart 2020'den itibaren yeni öneri geçerli olacak ve sertifikalar 27 ay (2 yıl) dan 13 ay (1 yıl) a düşürülecek.
    Bir Yıllık Sertifikalar Daha Güvenli mi?

    Uzun yıllar boyunca, web sitelerini koruyan sertifikaların kullanım ömrü maksimum üç yıldı. Bu sertifikalar, yalnızca sertifikada yer alan tüm bilgileri dikkatli bir şekilde inceledikten sonra verilmiş ve bilgiler artık geçerli değilse iptal edilebilir durumdaydı.
    CA / B Forumu tarafından reddedilmiş olan ve 2017 yılının başlarında sertifika ömürlerini bir yıla düşürme girişimi yapıldı.Şimdi, aynı öneri tekrar yapılıyor. Bu tekliflerin ardında ne var? ve dijital sertifikaların güvenliğini artırmak için her şeyi yapıyorlar mı?
    İnternet Trafiğini Korumak

    Modern internet üzerinde dijital sertifikalar en yüksek değeri olanlar da dahil olmak üzere ve web sitelerinin trafik korumak için gereklidir. Bu iletişim, ödeme bilgileri, şifreler, korunan sağlık bilgileri, ticari sırlar ve işle ilgili diğer gizli bilgiler dahil olmak üzere her türlü hassas bilgiyi içerebilir. gizlilik, bütünlük ve kullanılabilirlik: Bu web siteleri Bilgi güvenliğinin üç ayağı korumak zorundadır. Tüm iletişimlerin şifrelenmesi, değiştirilmeleri mümkün değildir ve kesinti yapılmaması gerekir.
    Bunu garanti etmek için, bu tür web sitelerinin sağlayıcıları, sunucularının ne zaman ve nasıl değiştirilebileceği ve sunucularında hangi yazılımın çalışabileceği konusunda sıkı kontrollere sahiptir. Birçok durumda, özellikle finansal ve sağlık endüstrisinde, bu değişim yönetimi prosedürlerini yöneten katı denetim ve uyumluluk kuralları vardır.
    Yakın gelecekte gelebileceği düşünüldüğü gibi, özellikle bir yıldan daha kısa olan sertifika ömürlerine geçiş, önemli maliyetlere sahiptir. Her değişiklik doğru yapıldığından ve sistemin güvenliğini olumsuz yönde etkilemediğinden emin olmak için dikkatlice test edilmelidir. Bu tür değişiklikleri otomatik olarak yapmak çekicidir, ancak bu tür sistemlerin karmaşıklığını önemli ölçüde arttırır ve kritik sistemler üzerinde yeni yazılım aracıları sunarak saldırı yüzeyini arttırır. Daha da kötüsü, bu yazılım aracıları internete bağlanır ve sertifikaları doğrudan güvenilir sistemlere yükler. Bunun, sistemin güvenliğini olumsuz yönde etkilememesi için önemli özen gösterilmesi gerekmektedir.
    Sertifika güvenliğini geliştirme hedefinin, şirketlerin otomasyon kullanımlarını artırmaya devam etmelerine, sistemlerini test etmelerine ve bu değişikliklere hazırlanmalarına daha fazla zaman tanıyarak daha iyi hizmet verildiğine inanıyoruz. Birincisi, teorik olarak sertifika süresinin kısaltılmasının her hangi bir yararı yoktur, değişikliklerin kısa bir süre içinde yapılması riskleri ve maliyetleri yükselteceği bir gerçektir.
    Önerilen Güvenlik Avantajları

    Peki bu maliyeti haklı çıkaran önerilen güvenlik avantajı nedir? Herhangi bir şey olduğu belli değil. Bu değişikliğin, birkaç günden bir veya iki haftaya kadar olan, çok kısa bir süre boyunca çalışan kötü amaçlı web sitelerinde kesinlikle bir etkisi yoktur. Bundan sonraki etki alanı çeşitli kara listelere eklendi ve saldırgan yeni bir etki alanına geçip yeni sertifikalar aldı.
    Bazen önerilen bir diğer avantaj, daha kısa ömür boyu sertifikaların uyum kuralları değiştiğinde daha hızlı geçişlere izin vermesidir. İki yıllık sertifika ömürleri, bugün verilen sertifikaların şu andan itibaren yaklaşık iki yıl olacağı anlamına gelir.Ancak, sertifika ekosistemini yönetenlerin, en azından bu kadar uzun süre dayanabilecek uyumluluk kurallarına uymaları sorumluluğu değil midir? Sertifika verilmesiyle ilgili kuralların az sayıda teslim süresiyle sürekli değiştirilmesi, değişikliklerin farkına varmak, bunları analiz etmek ve sistemler üzerindeki etkiyi belirlemek ve sistemlerini sorumlu bir şekilde güncellemek için yeterli hazırlığı yapmak için yeterli süreyi sertifikalandırmayacaktır. diğer tüm düzenleyici gereksinimlere uyması dahil.
    Bu değişikliğin, durumlarına bakılmaksızın, nispeten kısa bir zaman çizelgesinde tüm şirketler için geçerli olduğunu belirtmek de önemlidir. Bu tür kısa vadeli görevler, kaynakları birçok şirkette devam etmekte olan diğer, daha kritik güvenlik iyileştirmelerinden yönlendirme riskini taşır.
    Alt çizgi

    Sertifika ömürlerini hızla bir yıla veya hatta altına düşürmek, sistemlerini korumak için dijital sertifikalara dayanan birçok şirket için önemli maliyetlere sahiptir. Bu maliyetler önemli bir güvenlik iyileştirmesiyle telafi edilmez ve bu değişikliklerin yasadışı faaliyetlerde bulunan veya meşru şirketleri taklit eden kötü oyuncular üzerinde etkisi yoktur. Bu değişiklikler birçok şirketin internet trafiğini ve müşterilerini faydası olmadan korumasını önemli ölçüde zorlaştırıyor ve bu nedenle DigiCert grubu (Symantec,Geotrust,RapidSSL) bu değişikliklere karşı çıkıyor.


    https://www.sslburada.com/announceme...rtracak-m.html

    Havaalanı Transfer Yazılımı #1 - #2 | Skype