3 Mart’ta Google (kontrol ettiği The Chromium Projects kisvesi altında), Aktarım Katmanı Güvenliği (TLS) dijital sertifikalarının ömrünü 398 günden 90 güne önemli ölçüde kısaltmak için bir plan önerdi. Bu, kuruluşların, özellikle otomatikleştirilmiş süreçlerle ilgili olarak, sertifikalarını yönetme biçiminde önemli değişikliklere yol açacaktır.
Google Chrome tarayıcısının ve Chrome OS’nin arkasındaki açık kaynak kuruluşunun “Birlikte İlerlemek, Birlikte” adlı bir yol haritasına dahil edilen önerisi, daha güvenilir ve sağlam Web işlemleri sağlamaya yönelik olumlu bir adımdır. Ancak şirketlerin ve diğer kuruluşların sertifika süreçlerini önemli ölçüde dönüştürmesi gerekecek.
Dijital sertifikaların ömrü, son on yılda istikrarlı bir şekilde düşerek, 2012’de beş yıldan 2018’de iki yıldan biraz fazlaya, Temmuz 2020’de 13 aya veya 398 güne düştü. özellikle de değişen talepleri ve öncelikleri karşılamak için web sitelerinin ve hizmetlerin sürekli olarak yukarı veya aşağı döndürüldüğü bulut tabanlı bir bilgi işlem ortamında.
Google, önerilen değişikliklerin en iyi uygulamalar ve yeni güvenlik yetenekleri gibi iyileştirmelerin daha hızlı benimsenmesine olanak sağlayacağını ve kuruluşları zaman alıcı ve hataya açık manuel süreçlerden uzaklaşmaya teşvik edeceğini söyledi. Sonuçta ortaya çıkan otomasyona doğru hareket, kuruluşları kuantum sonrası kriptografinin ortaya çıkışına daha iyi hazırlayacaktır.
Sertifika İzleme için Uyandırma Çağrısı
Kabul edilirse, Chromium Projelerinin CA/Browser Forum’a (sertifika yetkilileri (CA), tarayıcı üreticileri ve diğerlerinden oluşan bir konsorsiyum) önerisi büyük olasılıkla 2024’ün sonunda yürürlüğe girecek. , önemli ölçüde daha kısa bir yaşam süresi beklentisi, kuruluşlar için bir uyandırma çağrısı görevi görmelidir. Teklif, oyunun değiştiğinin kesin bir işareti olduğundan, ortak anahtarları ve sertifikaları üzerinde daha fazla kontrol ve görünürlük elde etmeleri gerekiyor.
On yıl öncesine ait sertifikaların beş yıllık ömrü, ekiplerin örneğin bir Web sunucusu için sertifika alabildiği ve sonra hemen hemen unutabildiği farklı bir zamanı yansıtıyordu. Sertifikaların süresinin dolmak üzere olup olmadığını kontrol etmek veya sertifikaları yenilemek için hiçbir zaman bir rutin geliştirmediler, bu da sertifikayla ilgili kesintilere yol açabilir. Sertifika ömrünün nihai olarak 398 güne kısalması, ekiplerin süre sonlarını düzenli olarak kontrol ederek rahat edebilecekleri bir programa koymalarına yardımcı oldu.
Kuruluşlar bulutta genişledikçe, TLS (Güvenli Yuva Katmanı veya SSL olarak da bilinir) sertifikalarının görünürlüğü kritik önem taşır. Ve buluttaki katmanlı, giderek daha karmaşık hale gelen ortamlar, ekiplerin manuel olarak takip etme yeteneğinin ötesindedir. Şimdi, önerilen yeni geçerlilik süresiyle birlikte, süreci otomatikleştirmek söz konusu.
Şu anda kuruluşlar, kaynaklarını sertifikaları yüklemek için gerekli olan kişilere ve süreçlere ayırmaktadır. Yakın gelecekte, yeni yazılımların programlanmasını ve bakımını içerecek olan süreci otomatikleştirmek için insanlara ve kaynaklara ihtiyaç duyacaklar. Odak noktası, TLS’nin özünde yer alan ortak anahtar altyapısı (PKI) bilgisinden dahili altyapı bilgisine kayacaktır.
Merkezi İzleme Kritiktir
Sertifika iş yükünü yönetmek için kuruluşların, süresi dolmak üzere olan sertifikaları kolayca belirlemek için sertifika izlemeyi merkezileştirmesi gerekecektir. Merkezi bir görünüm olmadan, bir sunucuyu döndürmek, bunun için bir sertifika almak ve ardından onu unutmak, felakete yol açabilecek şekilde yine de mümkündür. 2022 Ponemon Enstitüsü araştırması, yanıtlayanların yarısının son iki yılda sertifikayla ilgili en az bir saldırıya maruz kaldığını ve %58’inin mali sonuçları “ciddi” olarak tanımladığını ortaya çıkardı.
Merkezi izleme aynı zamanda sertifikaların son kullanma tarihlerini kontrol etmekten daha fazlasını içerir. Kuruluşların, sertifikaların sunucularında nasıl kullanıldığını da izlemesi gerekecektir. Sertifikaların yanlış sunuculara dağıtılması, bazı sunucuların iş yükleri için ihtiyaç duydukları sertifikalardan yoksun bırakılması alışılmadık bir durum değildir. Bir avuç çalışanı olan küçük bir şirkette, herkes neyin nerede çalıştığını biliyor olabilir. Ancak 5.000 kişilik bir işletmede tek bir bakış açısı olmadan hepsini takip etmek imkansız olabilir.
İş operasyonlarının birbirine bağlı doğası, TLS görünürlüğünün tedarik zincirlerini de kapsayacak şekilde genişletilmesini gerektirebilir çünkü bağlantılı bir ortamdaki küçük bir sistemden bile ödün verilmesi operasyonlar üzerinde çok büyük bir etkiye sahip olabilir. Kuruluşlar, her şeyi şirket içinde tutmak yerine, dışarıdan izleme hizmetlerinin avantajını değerlendirmek isteyebilir.
İleriye bakmak
Chromium Projelerinin önerisinin tam etkisi henüz belirlenmedi. Örneğin sertifika kullanan güvenlik kameraları gibi Nesnelerin İnterneti cihazlarına uygulanıp uygulanmayacağı veya yalnızca Web sunucularıyla sınırlı olup olmadığı gibi birkaç gri alan var gibi görünüyor.
Ancak teklif ne olursa olsun, günümüz ortamının gerçekliğini yansıtıyor. Daha kısa sertifika ömürleri faydalıdır, ancak kuruluşların bunları nasıl düzgün bir şekilde yönetebileceklerini kesinlikle yeniden düşünmeleri gerekecektir.