La durée de vie des certificats SSL/TLS fortement réduite

Un simple vote, mais avec des grandes conséquences. En effet, le Certification Authority Browser Forum (CA/Browser) regroupant les émetteurs de certificats et les éditeurs d’applications ont voté en fin de semaine dernière la baisse radicale de la durée de vie des certificats vérifiant la propriété des sites. Les modifications approuvées à une écrasante majorité seront introduites progressivement jusqu'en mars 2029, date à laquelle les certificats ne dureront plus que 47 jours.

Les certificats de site web, également connus sous le nom de certificats SSL/TLS, sont émis par des autorités de certification de confiance (Certification Authorities, CA). Ils utilisent le chiffrement à clé publique pour authentifier les sites web auprès des navigateurs. Ce changement controversé a fait l'objet d'un débat approfondi pendant plus d'un an.

La sécurité raison officielle, le business raison officieuse

L'argument du groupe est qu'il améliorera la sécurité du web de diverses manières, mais certains ont fait valoir que les membres du groupe ont une autre forte motivation, car ce sont eux qui gagneront plus d'argent grâce à cette accélération. « C'est tout à fait ce à quoi nous nous attendions », a déclaré Jon Nelson, directeur principal de l'Info-Tech Research Group. « Les émetteurs mettent en avant une réduction des risques, mais je me demande si c'est la véritable raison et si les participants ne sont pas en conflit d'intérêts dans la mesure où cette initiative pourrait générer des revenus supplémentaires pour leurs entreprises ». Même si le forum a voté à une écrasante majorité pour approuver le changement, avec aucun vote négatif, cinq membres se sont abstenus, signe que tous n’était pas d'accord avec la décision.

Tim Callan, responsable de la conformité chez Sectigo et vice-président du CA/Browser Forum, a déclaré que l'un des membres de l'autorité de certification (CA) qui s'est abstenu, qu'il a refusé d'identifier, a rédigé une note à l'intention du groupe où il déclare : « Nous avons des sentiments mitigés à ce sujet. Nous sommes favorables au principe. Cependant, nous ne sommes pas convaincus que les conditions les plus restrictives soient nécessaires, à savoir descendre jusqu'à 47 jours ». Pour sa part, M. Callan se réjouit de ces changements pour plusieurs raisons. « La réduction de la durée de vie des certificats est une bonne tendance. C'est la bonne direction à prendre. », s’est-il félicité.

Un calendrier progressif

Ces changements, voulus principalement par Apple, comportent deux éléments distincts. Le premier concerne la durée pendant laquelle un utilisateur peut commander ou renouveler un certificat sans nouvelle validation, une fois qu'il a prouvé qu'il exerce un contrôle valide sur son domaine (Domain Control Validation, DCV). La seconde concerne la durée de validité du certificat TLS (Transport Layer Security). Dans environ un an, le 15 mars 2026, la « durée de vie maximale des certificats TLS sera ramenée à 200 jours ». Cela correspond à une cadence de renouvellement de six mois. La période de réutilisation du DCV est réduite à 200 jours », selon le bulletin de vote adopté. L'année suivante, le 15 mars 2027, « la durée de vie maximale des certificats TLS passe à 100 jours, soit une cadence de renouvellement de trois mois. La période de réutilisation du DCV est réduite à 100 jours ». Enfin, le 15 mars 2029, « la durée de vie maximale des certificats TLS passe à 47 jours, soit une cadence de renouvellement d'un mois. La période de réutilisation du DCV est réduite à 10 jours ».

Étant donnée la nature très technique du sujet, les représentants des sociétés membres ont voulu préciser ce qu'ils entendaient par ‘un jour’ et dire que ‘un jour’ n’était pas équivalent à 24 heures : « Pour les besoins du calcul, un jour est mesuré en 86 400 secondes. Toute durée supérieure, y compris les fractions de secondes et/ou les secondes bissextiles, représente un jour supplémentaire. Pour cette raison, les certificats d'abonné ne devraient pas être émis pour la durée maximale autorisée par défaut, afin de tenir compte de ces ajustements ».

Plaidoyer d’Apple pour les changements

Le document adopté comprenait également un préambule rédigé par Apple, qui tentait d'expliquer la raison d'être du changement. Dans cette lettre, la firme de Cupertino explique que l'introduction progressive des changements doit permettre la découverte de problèmes imprévus et laisser du temps pour procéder à des ajustements. La formulation est typique d’Apple : « Afin de résoudre toutes les inconnues au fil du temps, il est utile d'assurer une large sensibilisation avant de mettre en œuvre ces changements ne prennent effet ». L'argument principal de la société est de dire que les durées plus longues actuelles laissent beaucoup trop de temps aux mauvaises choses pour se produire. « Les certificats sont des représentations d'un état ponctuel de la réalité. C'est-à-dire qu'au moment de l'émission du certificat, toutes les données qui y sont certifiées sont correctes et le processus suivi pour cette certification est documenté avec précision pour ce moment-là », écrit-elle. « Plus le temps passe après le moment de l'émission, plus il est probable que les données représentées dans le certificat divergent de la réalité. Par conséquent, une réduction des durées de vie des certificats et des périodes de réutilisation des données augmente la fiabilité nette moyenne des certificats », poursuit-elle.

De plus, Apple pense que les autorités de certification ne font pas toujours leur travail à la perfection. « Parfois, les autorités de certification n'émettent pas de certificats conformément aux politiques, aux exigences ou aux spécifications qui régissent cette émission », a-t-il avancé. « Exiger une validation plus fréquente des informations utilisées dans l'émission des certificats et réduire la période de validité maximale des certificats réduit le risque de validation incorrecte, la portée de la perpétuation de la validation incorrecte et les possibilités pour les certificats mal émis d'avoir un impact négatif sur l'écosystème et les parties qui s'y fient ». Apple fait aussi valoir que la réduction de la durée de vie des certificats donne la possibilité à l'industrie de réagir plus efficacement aux changements dans le domaine de la cryptographie.