作者：Timothy Hollebeek
网络安全行业内有很多关于缩短TLS/SSL证书有效期的讨论，最近苹果公司提议到2027年将证书最长有效期从398天缩短至45天。
缩短证书有效期的目标是推动自动化，而苹果公司并不是唯 一一家在推动这一进程的企业——谷歌在2023年初提议将证书有效期缩短至90天，对此DigiCert完全支持。
然而，虽然较短的证书有效期在减少漏洞方面发挥着至关重要的作用，但关于具体续订间隔的争论并不是真正值得关注的话题。真正的优先需求是简化并自动化证书管理——这是贵组织不能拖延的举措。
为什么缩短证书有效期很重要
较短的证书有效期可以通过提高加密密钥的轮换频率来提高安全性。这限制了受损证书的风险敞口，并最大限度地降低了长期漏洞的风险。通过缩短攻击者能利用受损证书的时间期限，更短的有效期增强了对安全通信的整体信任。
近期苹果公司关于将证书有效期缩短至45天的提议正是基于这些原则，并遵循行业逐步缩短证书有效期的进展。但证书有效期缩短并非没有挑战。对于仍然依赖手动证书管理的组织来说，续订频率的增加可能会导致：
更高的运营开销：管理有效期缩短的证书意味着IT团队必须更频繁地处理续订，增加了手动流程所需的时间和资源。
证书过期的风险增加：频繁续订会加大错过截止日期的可能性，从而导致证书过期。证书过期可能会导致网站中断、服务中断和客户信任的丧失。
跨多种系统的复杂性：许多组织跨混合环境管理证书，包括本地服务器、云平台、IoT设备和边缘网络。随着证书有效期的缩短，保持对所有证书的可见性和控制力变得更加具有挑战性。
合规与安全压力：过期证书不仅会导致运营中断，还会造成监管合规问题，为具有严格安全要求的行业带来更多的风险。
对于没有自动化证书管理解决方案的组织来说，这些挑战可能会迅速压倒IT团队，造成瓶颈，并加大发生安全问题的可能性。
证书自动化
只关注证书有效期而不解决管理工具的问题，就可能会在解决一个问题的同时又造成其他问题。短期证书只有在与全面的自动化系统配合使用时才能有效发挥作用，这些系统能够简化续订流程并消除人为错误的风险。
通过自动化，您可以确保每次都能按时续订TLS/SSL证书，从而减轻IT团队的管理负担，并防止因证书过期而导致的意外中断。自动化还能实现集中式证书管理，使组织能够完全了解并控制其数字资产。
以下是每个组织都应该优先考虑自动化证书管理的具体原因：
将过期证书的风险降至最低：自动化确保证书在到期前完成续订，消除服务中断和安全漏洞的风险。
降低管理开销：通过实现日常任务的自动化，IT团队可以专注于战略优先事项，而非处理耗时的手动续订。
可扩展性以适应不断增长的网络：自动化能简化跨复杂基础设施（包括IoT设备、云服务和多域名环境）的证书管理。
主动式安全：自动化系统实时检测并解决问题，减少漏洞或配置错误的潜在影响。
简而言之，对于TLS/SSL证书政策未来的变化，例如苹果公司提议的45天有效期，现在就采用自动化证书管理的组织将能为其更好地开展准备工作。
使用DigiCert产品让您的组织经得起未来的考验
对于企业来说，管理数字信任不仅在于满足合规时间表，更在于建立一种随着组织的成长和复杂性而扩展的安全基础。
DigiCert致力于开展超越临时合规趋势的数字信任创新。我们优先考虑DigiCert Trust Lifecycle Manager等解决方案，这些解决方案能帮助组织高效、安全地管理其证书，聚焦于解决现实需求的实用实施。
向较短有效期证书的过渡不应被视为一种负担，而应被视为一个拥抱自动化并简化证书管理的机会。自动化的证书生命周期管理可以减少人为错误，降低费用，释放IT资源，使团队能够专注于更具战略性的安全计划。任何现在就实施证书管理自动化系统的组织都将处于领先地位，确保组织已为证书政策和标准的未来变化做好准备——而无论证书有效期有多短。
数字信任的最 新进展
想了解有关自动化、证书管理和数字信任等话题的更多信息？请订阅DigiCert博客，以确保您永远不会错过任何信息。
Timothy Hollebeek
行业技术战略家 | DigiCert
Timothy Hollebeek在计算机安全领域拥有超过20年的行业经验，其中8年从事国防高级研究计划局所资助的创新安全研究。作为DigiCert的主要代表，他一直积极参与多个行业标准组织的工作，包括CA/浏览器论坛，致力于改进适用于实际实施的信息安全实践。作为一名数学家，Hollebeek投入了大量时间研究量子计算的安全方法。
（备注：本文转自 DigiCert）
- 扫一扫二维码可分享朋友或朋友圈
