🧮 47 дней на жизнь: индустрия сокращает срок SSL/TLS-сертификатов

С 2029 года срок действия SSL/TLS-сертификатов сократится до 47 дней, DCV — до 10. Это решение принято CA/Browser Forum при поддержке Apple, Google, Microsoft и Mozilla. Инициатива исходит из логики: чем чаще происходит ротация, тем меньше окно эксплуатации скомпрометированных сертификатов. В теории — шаг к снижению рисков. На практике — удар по рутинным процессам.

Первый этап начнётся уже в 2026 году — 200 дней, затем 100 в 2027-м, и финальные 47 в 2029-м. Это потребует полной автоматизации жизненного цикла сертификатов. Но в инфраструктурах с устаревшими системами и ручным управлением замена станет непрерывной нагрузкой. Форумы уже полны обсуждений: без DevOps-интеграции и CI/CD-пайплайнов админы окажутся в замкнутом цикле «обновить и забыть».

Этот переход — не просто регламент. Это смена модели: от статичных доверительных отношений к управлению рисками в режиме real-time. Те, кто не подготовятся заранее, рискуют утонуть в собственных же SLA.

#SSL #сертификаты #TLS #автоматизация #DevOps

@SecLabNews

🛡RFC 9849: новый стандарт IETF шифрует то, что раньше оставалось на виду

Инженерное сообщество IETF опубликовало RFC 9849 с описанием Encrypted Client Hello, или ECH. Новый механизм шифрует начальное сообщение клиента при установке TLS-соединения и скрывает домен, к которому подключается пользователь. Раньше поле SNI оставалось открытым даже в TLS 1.3, и наблюдатель в сети мог видеть адрес сайта.

ECH делит первое сообщение на внешнюю и внутреннюю части. Снаружи остаётся обычный запрос без чувствительных данных, а внутри в зашифрованном виде передаётся реальная информация о соединении. Такой подход усложняет анализ трафика и позволяет прятать детали инфраструктуры даже при работе через промежуточные узлы.

Полной анонимности новый стандарт не даёт, потому что адрес сайта всё ещё могут раскрыть DNS-запросы или IP-адрес. Но вместе с защищённым DNS уровень приватности становится заметно выше. Внедрение ECH потребует доработок у клиентов и серверов, зато TLS делает ещё один шаг к тому, чтобы закрыть старые утечки.

#кибербезопасность #TLS #приватность

@SecLabNews