Na tegorocznym spotkaniu grupy CA/Browser Forum, która odpowiada za regulację standardów SSL, firma Apple jednostronnie oznajmiła zmianę polityki względem certyfikatów SSL/TLS ich przeglądarki. Zgodnie z nowym podejściem, Safari nie będzie uznawała za zaufane tych stron, których ważność certyfikatu SSL będzie dłuższa niż 398 dni. Zmiany te mają wejść w życie z dniem 1 września bieżącego roku.
Co ważne, nabycie certyfikatu na okres dłuższy niż dwa lata będzie jeszcze możliwe i respektowane do dnia 31 sierpnia.
Przeglądarka Safari należąca do Apple, posiada obecnie 17,7 % udziałów w rynku i jest na drugim miejscu zaraz po Google Chrome. Bez wątpienia zawdzięcza to głównie swojej obecności na urządzeniach mobilnych firmy Apple. Jest to dość istotna informacja i sygnał dla reszty branży. Nie można ignorować w tym wypadku tak znacznego ruchu na stronach internetowych. Bardzo możliwe zatem, że za firmą Apple pójdą i inni wydawcy przeglądarek jak Chrome oraz Firefox, wprowadzając analogiczne zmiany. Dotyczy to także wystawców certyfikatów SSL.
Jeszcze do niedawna certyfikaty SSL były wydawane na okres sięgający 5 lat. Miało to jednak swoje minusy, gdyż tak długi zakres czasu wpływał negatywnie na samo bezpieczeństwo. Co istotne okres ten jest systematycznie skracany, z 4 i 5 lat w 2015 roku, do 3 lat w 2018 roku. Obecnie nie są one dłuższe niż 2 lata, a więc maksymalnie 825 dni.
Certyfikacja SSL zapewnia bezpieczeństwo wykorzystując specjalne algorytmy szyfrujące transmisję. Jednak przez nieustanny wzrost mocy obliczeniowej oraz rozwój technologii, algorytmy te w dłuższym przedziale czasowym przestały zapewniać odpowiedni poziom zabezpieczenia.
Do tego część z dotychczasowych wystawców certyfikatów znika z rynku. Należy wówczas zastąpić starsze rozwiązania nowszymi by móc nadal zapewniać odpowiedni poziom ochrony.
Trzeba zaznaczyć, że każdorazowe wydanie certyfikatu SSL jest związane z jego ponowną instalacją na serwerze. Częstsze instalowanie certyfikatów przekłada się na zmniejszenie liczby starszych rozwiązań, które już nie są w stanie zagwarantować właściwego zabezpieczenia. Zachęca się przy tym także do częstszego aktualizowania kluczy związanych z certyfikatami.
