Vorbereitung auf die Zukunft: Apples Vorschlag zur 47-tägigen Zertifikatslaufzeit

Artikel aktualisiert am 27. November 2024 aufgrund der letzten Apple-Ankündigung.

Der Lebenszyklus digitaler Zertifikate bietet einen strukturierten Prozess, durch den digitale Zertifikate für die Kommunikation über Secure Socket Layer (SSL)/Transport Layer Security (TLS) verwendet werden. Zertifikate werden validiert, ausgestellt, bereitgestellt und schließlich erneuert (oder widerrufen). Trotz seiner scheinbaren Stabilität ist dieser Lebenszyklus jedoch ständig im Fluss. Er hat im Laufe der Jahre erhebliche Veränderungen erfahren – einschließlich der kontinuierlichen Bemühungen, die Gesamtlaufzeit zu verkürzen.

Während die aktuelle Lebensdauer in der Regel 398 Tage beträgt, wird immer deutlicher, dass dies nicht mehr lange der Status quo sein wird. Die von Google angekündigte Absicht, auf 90-Tage-Zertifikate umzusteigen, hat viele Diskussionen ausgelöst, aber Apple ist bestrebt, noch einen Schritt weiter zu gehen und die Lebensdauer noch weiter zu verkürzen. Apples Ziel: die Gültigkeitsdauer bis 2028 auf nur noch 47 Tage zu reduzieren.

Apple kündigte dies während eines Treffens des Certification Authority Browser Forum (CA/B Forum) an und legte einen Entwurf für einen Wahlgang vor, der einen Vorschlag zur schrittweisen Reduzierung der Laufzeiten für SSL/TLS-Zertifikate bis auf nur 47 Tage enthält. Dieser von Sectigo unterstützte Vorschlag integriert spezifische Bedingungen für Zertifikate und frühe Verlängerungsfenster und begrenzt gleichzeitig die Wiederverwendungszeiträume für die Domain Control Validation (DCV). Wir werden den Vorschlag im Folgenden aufschlüsseln und dabei wichtige Termine sowie die nächsten Schritte zur Vorbereitung auf die neue Normalität im digitalen Ökosystem hervorheben.

Wichtige Termine auf dem Weg zu 47-tägigen Gültigkeitszeiträumen

Apples vorgeschlagene Umstellung auf 47-tägige SSL-Gültigkeitszeiträume könnte im Laufe einiger Jahre erfolgen, wobei mehrere Meilensteine auf dem Weg dorthin vorgesehen sind. Wir werden wichtige Termine später im Detail besprechen – aber vorerst sollte ein besonders kritischer Termin Anfang bis Mitte 2028 anstehen. Zu diesem Zeitpunkt könnten 47-tägige Zertifikate die Oberhand gewinnen.

Denken Sie daran: Derzeit handelt es sich hierbei um einen Vorschlag. Es muss darüber abgestimmt werden, um sicherzustellen, dass die 47-Tage-Fristen tatsächlich umgesetzt werden. Dennoch spiegelt dieser Vorschlag die klare Tendenz der Branche zu kürzeren Laufzeiten von Zertifikaten wider. Selbst wenn Apple den 47-Tage-Vorschlag nicht übernimmt, ist es wahrscheinlich, dass begrenzte Laufzeiten in irgendeiner Form eingeführt werden.

Aktuelle Laufzeit von SSL-Zertifikaten

Unter Berücksichtigung einer Nutzungsdauer von über einem Jahr vor der Erneuerung beträgt die aktuelle Lebensdauer von SSL-Zertifikaten in der Regel vergleichsweise lange 398 Tage. Trotzdem haben viele Unternehmen Schwierigkeiten, mit der Erneuerung von Zertifikaten Schritt zu halten, was zu einem erheblichen Ausfallrisiko führt. Dennoch bietet die aktuelle Lebensdauer von 398 Tagen eine Art Puffer, der nicht mehr verfügbar sein wird, wenn Googles 90-Tage- oder Apples 47-Tage-Vorhaben umgesetzt werden.

Zeitplan für die Verkürzung der Lebensdauer von Zertifikaten

Apple hat nicht nur seine Absicht bekundet, die Gültigkeitsdauer von Zertifikaten zu verkürzen, sondern auch einen klaren Fahrplan erstellt, der zeigt, wie dieser Prozess ablaufen wird. Anstatt sofort auf eine Lebensdauer von 47 Tagen umzustellen, würde Apple einen schrittweisen Prozess verfolgen, bei dem die Lebensdauer langsamer und gleichmäßiger verkürzt wird.

Bevor die wichtigsten Meilensteine auf diesem Weg skizziert werden, ist es wichtig zu erwähnen, dass ein grundlegender Prozess, der die Public-Key-Infrastruktur (PKI) einbezieht, eine wichtige Rolle in Apples Plänen zur Verkürzung der Lebensdauer von Zertifikaten spielen könnte. Bei diesem als Domain Control Validation (DCV) bekannten Prozess überprüft die Zertifizierungsstelle die Domain des Antragstellers. Dies ist ein entscheidender Bestandteil des SSL/TLS-Prozesses; ohne DCV können keine Zertifikate ausgestellt oder eingesetzt werden. Die Wiederverwendung von DCV ermöglicht es jedoch, unter bestimmten Umständen auf eine erneute Validierung zu verzichten.

Vor diesem Hintergrund sollten Unternehmen und Betriebe, die eine Umstellung auf eine 47-tägige Lebensdauer planen, diese wichtigen Daten im Auge behalten:

• 15. September 2025. Wenn Apples Vorschlag angenommen wird, verkürzt sich die Lebensdauer des Zertifikats auf insgesamt 200 Tage. Die Frist für eine vorzeitige Erneuerung beträgt jedoch nur 20 Tage. Zu diesem Zeitpunkt wird der DCV-Wiederverwendungszeitraum 200 Tage umfassen.
  
• 16. September 2026. Nach einem Jahr mit einer Lebensdauer von 200 Tagen wird Apple den nächsten Schritt auf seinem Weg gehen und eine Lebensdauer von 100 Tagen zusammen mit 10 Tagen für eine vorzeitige Erneuerung einführen. In der Zwischenzeit wird auch die Wiederverwendungsdauer der DCV auf 100 Tage verkürzt.
  
• Mitte bis Ende September 2028 könnte eine entscheidende Änderung des 47-Tage-Plans für die Lebensdauer von Apple-Zertifikaten mit sich bringen, indem die Wiederverwendungsfrist für die Domain Control Validation (DCV) auf nur 10 Tage verkürzt wird.

Auswirkungen des 47-Tage-Vorschlags von Apple

Der Vorschlag von Apple ist bezeichnend für einen wichtigen Trend im Bereich der Cybersicherheit, bei dem kürzere Zertifikate als entscheidend für die Bewältigung einer Vielzahl von Sicherheitsrisiken angesehen werden. Im Falle einer Kompromittierung eines privaten Schlüssels schränkt eine kürzere Lebensdauer die Möglichkeiten des Angreifers ein, diesen Schlüssel tatsächlich auszunutzen. Leider ist es schwierig, diese Sicherheitsvorteile zu nutzen, wenn Organisationen ständig darum bemüht sind, mit dem schnellen Erneuerungstempo Schritt zu halten. Sollte der Vorschlag einer Gültigkeitsdauer von 47 Tagen umgesetzt werden, müssen Organisationen auf automatisierte Zertifikatsverwaltungsstrategien umsteigen.

Sicherheitsvorteile

Mit jedem zusätzlichen Tag, jeder zusätzlichen Woche oder jedem zusätzlichen Monat steigt das Risiko, dass Zertifikate von immer raffinierteren Bedrohungsakteuren kompromittiert werden. Im schlimmsten Fall sollten Angreifer nur über begrenzte Zeit verfügen, um kompromittierte Zertifikate zu missbrauchen. Kurze Gültigkeitszeiträume fördern außerdem die Einhaltung von Vorschriften und die Agilität.

Operative Belastung für IT-Teams

Trotz all ihrer Vorteile stellen kurze Zertifikatslaufzeiten aus der Sicht der ohnehin schon vielbeschäftigten IT-Fachleute ein erhebliches Problem dar. Viele sind mit der schieren Menge an digitalen Zertifikaten überfordert, insbesondere wenn sie weiterhin zeitaufwändige manuelle Prozesse durchführen müssen. Ohne einen optimierten, automatisierten Prozess könnte der erhöhte Bedarf an Erneuerungen die ohnehin schon überlasteten IT-Teams zusätzlich belasten.

Bedenken und Herausforderungen

Mit immer kürzeren Laufzeiten von Zertifikaten sind auch immer mehr Herausforderungen verbunden. Unternehmen profitieren zwar letztendlich von der erhöhten Sicherheit, die diese kürzeren Laufzeiten ermöglichen, müssen jedoch zunächst einige Hindernisse überwinden:

Altsysteme und nicht automatisierte Umgebungen

Obwohl die Automatisierung auch bei längeren Laufzeiten von 397 Tagen dringend empfohlen wird, sind einige Organisationen bisher mit manuellen Erneuerungsstrategien ausgekommen. Dies stellt sicherlich eine Belastung für die IT-Abteilungen dar – und kann zu deutlich höheren Arbeitskosten und einem erhöhten Risiko menschlicher Fehler führen –, aber dieser Ansatz war zumindest bei längeren Laufzeiten einigermaßen praktikabel. Das wird sich jedoch bald ändern, und Organisationen werden sich schnell an neue Systeme anpassen müssen, wenn sie auf Automatisierung umsteigen.

Ein weiteres Problem: Altsysteme sind häufig nicht mit der Automated Certificate Management Environment (ACME) kompatibel. Diese Systeme sind möglicherweise anfälliger für das Auslaufen von Zertifikaten und haben möglicherweise auch mit einer eingeschränkten Skalierbarkeit zu kämpfen.

Belastung für kleine Unternehmen und Organisationen mit begrenzten Ressourcen

Die oben beschriebenen Herausforderungen können Unternehmen jeder Größe und in vielen Branchen betreffen, doch für kleinere Unternehmen, deren IT-Abteilung möglicherweise bereits unter Druck steht, könnten sie sich als besonders problematisch erweisen. Ohne eine in den Zertifikatsverwaltungsprozess integrierte Automatisierung riskieren kleinere Unternehmen Ausfälle und damit eine Vielzahl von Sicherheitsproblemen, für deren Bewältigung sie möglicherweise schlecht gerüstet sind.

Vorbereitung auf 47-tägige Lebenszyklen von Zertifikaten: die Rolle der Automatisierung

Zu diesem Zeitpunkt ist die Frage nach der kürzeren Lebensdauer von Zertifikaten nicht mehr ob, sondern wann. Organisationen, die sich nicht entsprechend vorbereiten, könnten in Schwierigkeiten geraten, wenn sich die Lebensdauer zwangsläufig verkürzt. Je nach aktueller Strategie kann dies eine Umstellung auf eine automatisierte Zertifikatsverwaltung bedeuten.

Bedeutung der automatisierten Verwaltung des Zertifikatslebenszyklus

Die Automatisierung spielt eine wichtige Rolle bei der Bewältigung des erhöhten Verwaltungs- und IT-Aufwands, der mit der kurzen Lebensdauer von SSL-Zertifikaten verbunden ist. Insbesondere automatisierte Lösungen für das Certificate Lifecycle Management (CLM) versprechen eine Rationalisierung schwieriger Prozesse und bieten eine effiziente Alternative zu den manuellen Prozessen von gestern. ACME ermöglicht eine automatisierte Erneuerung, aber ein durchgängiges Management des Lebenszyklus von Zertifikaten ist von entscheidender Bedeutung – insbesondere für die Unternehmensumgebungen von morgen.

Vorbereitung Ihrer Infrastruktur

Vor der Aktualisierung von Lösungen für die Zertifikatsverwaltung sind möglicherweise einige Vorbereitungsarbeiten erforderlich. Stellen Sie zunächst fest, ob die aktuellen Systeme ACME und andere Automatisierungstools unterstützen. Planen Sie Infrastruktur-Upgrades frühzeitig, da deren Implementierung zeitaufwendig sein kann.

Was Sie jetzt tun sollten

Auch wenn die oben genannten Termine noch in weiter Ferne zu liegen scheinen, kann die Umstellung auf automatisierte Lösungen Zeit in Anspruch nehmen. Es ist wichtig, jetzt mit der Planung und Umsetzung von Strategien zu beginnen, um den unvermeidlichen Übergang zu kürzeren Laufzeiten von Zertifikaten zu erleichtern. Befolgen Sie zusätzlich zur Bewertung und Aufrüstung der Infrastruktur die folgenden Schritte, um die Bereitschaft für kürzere Gültigkeitszeiträume von Zertifikaten zu verbessern:

Sofortige Maßnahmen

In dieser sich entwickelnden digitalen Umgebung ist es mehr als offensichtlich, dass eine automatisierte Verwaltung von Zertifikaten ein Muss ist. Das Ziel: manuelle Aufgaben reduzieren und sich an automatisierte Arbeitsabläufe anpassen. Wenn Automatisierung noch nicht Teil des Prozesses ist, ist es jetzt an der Zeit, CLM-Lösungen zu evaluieren und zu bestimmen, wie sie in das Gesamtbild der Unternehmenssicherheit passen. Wenn Automatisierung bereits vorhanden ist, können dennoch zusätzliche Maßnahmen erforderlich sein: Prüfung der aktuellen Systeme, um sicherzustellen, dass sie den gestiegenen Anforderungen durch kürzere Gültigkeitszeiträume gerecht werden können.

Langfristige Planung

Denken Sie bei Ihren Sofortmaßnahmen zur Anpassung an die begrenzte Lebensdauer von Zertifikaten auch an die strategische Planung. Diese kann bestimmen, wie das Zertifikatmanagement nicht nur inmitten unmittelbarer Veränderungen, sondern auch weit in der Zukunft gehandhabt wird. Eine gute Planung sollte die Skalierbarkeit und Agilität verbessern und gleichzeitig die Rendite im Zusammenhang mit dem automatisierten Zertifikatmanagement steigern.

Bereiten Sie sich jetzt mit Sectigo auf kürzere Gültigkeitszeiträume von Zertifikaten vor

Ob zuerst von Google oder Apple eingeführt, es ist klar, dass kürzere Gültigkeitszeiträume für Zertifikate in Arbeit sind. Jetzt ist es an der Zeit, sich darauf vorzubereiten, damit die unvermeidliche Umstellung auf kürzere Laufzeiten nicht zu einem administrativen Albtraum wird. Sectigo kann eine leistungsstarke Anleitung bieten, um diesen Übergang zu erleichtern.

Der Sectigo Certificate Manager (SCM) automatisiert den gesamten Lebenszyklus von SSL-Zertifikaten – von der Ausstellung und Erkennung bis hin zur Bereitstellung und Erneuerung – und bewältigt mühelos große Mengen an SSL/TLS-Zertifikaten. Mit dem zentralen Dashboard von SCM erhalten Sie in Echtzeit Einblick in alle Ihre Zertifikate, wodurch manuelle Arbeitslasten entfallen und das Risiko unerwarteter Abläufe minimiert wird.

Bereiten Sie sich schon heute auf die Zukunft des Zertifikatslebenszyklus-Managements vor, indem Sie unsere SCM-Plattform in Aktion erleben – fordern Sie eine Demo an oder starten Sie eine kostenlose Testversion.