شهادة Let’s Encrypt ذات التسعين يوماً: رهان على التجديد الآلي

الخلاصة

أعلنت Let’s Encrypt في 9 نوفمبر 2015 حداً أقصى قدره 90 يوماً، وأوصت بالتجديد كل 60 يوماً: لتقصير مدة صلاحية المفتاح المخترق أو الشهادة التي أُصدرت خطأ، ولدفع تشغيل HTTPS نحو الأتمتة.
وبعد ثلاثة أيام، قالت نشرة البيتا العامة إن النسخة المحدودة أصدرت أكثر من 11 ألف شهادة، وأقرت بأن تجربة العميل ما زالت تحتاج إلى العمل بسلاسة على منصات كثيرة.

التحليل

قد يبقى تاريخ انتهاء الشهادة حبيس ملف، ثم يتحول فجأة إلى موعد تشغيلي على الموقع. الحقل notAfter جزء من الشهادة الموقعة. وتعرّف RFC 5280 فترة الصلاحية من notBefore إلى notAfter، مع شمول التاريخين. بعد نهاية الفترة يحتاج الموقع إلى شهادة بديلة ليواصل استخدام شهادة صالحة للحظة الراهنة.

في 9 نوفمبر 2015، شرح Josh Aas، المدير التنفيذي لـ Internet Security Research Group، سبب وضع Let’s Encrypt سقفاً قدره 90 يوماً. وأسند إلى هذا الحد وظيفتين. إذا سُرق مفتاح خاص أو صدرت شهادة بالخطأ، بقيت صلاحيتها أقصر. كما أن تجدد المهلة بوتيرة متقاربة يشجع الأتمتة التي وصفها بأنها ضرورية لجعل HTTPS سهل الاستخدام.

توصية التجديد في اليوم الستين تكشف شكل التسوية. لم تطلب Let’s Encrypt انتظار آخر يوم. كان يتبقى نحو شهر قبل السقف، بما يتيح لمدير النظام ملاحظة فشل التجديد والتدخل يدوياً. وذكر Aas أن الخدمة حديثة وأن الأتمتة جديدة على كثير من المشتركين. لذلك اختيرت مدة تدفع إلى استخدام البرمجيات، لكنها تترك وقتاً للتدارك البشري عند الحاجة.

وتوضح رزنامة الإطلاق المرحلة التي جرى فيها القرار. ففي 12 نوفمبر، أفاد Aas بأن البيتا المحدودة بدأت في 12 سبتمبر وأصدرت أكثر من 11 ألف شهادة حتى ذلك الوقت. وكان موعد البيتا العامة 3 ديسمبر. وصف الإعلان الأتمتة بأنها ركن في الاستراتيجية، لكنه قال أيضاً إن تجربة العميل تحتاج إلى مزيد من التحسين كي تعمل على منصات متنوعة. كان الإصدار يتقدم، أما الاعتماد السلس على التجديد في كل بيئة فظل عملاً جارياً.

كان منطق Let’s Encrypt مباشراً: لا يمكن مطالبة مديري الأنظمة بتجديد الشهادات يدوياً لكل الويب. عندما يصبح الإصدار والتجديد آليين، لا تضيف المدة الأقصر عبئاً يومياً على مشغل الموقع. هكذا ارتبط هدف أمني بطريقة تشغيل واحدة: الساعة أقصر، والعميل البرمجي مطالب بمواكبتها.

ظل التجديد اليدوي ممكناً، لكنه صار مسار الاستعادة. أما التشغيل المعتاد فيعتمد على عميل التجديد، وجدول تشغيله، وتوافقه مع المنصة، ووصول الشهادة الجديدة فعلياً إلى الخدمة. كان اليوم الستون موعداً في التقويم؛ والأتمتة هي ما قد يجعل الوفاء به قابلاً للتكرار على خوادم كثيرة.

يحصي رقم البيتا الشهادات التي أُصدرت حتى 12 نوفمبر. ولا يحصي التجديدات الناجحة أو الفاشلة. سلسلة مؤرخة لنتائج التجديد ستحدد مدى كفاية مهلة التدخل اليدوي؛ والإعلانان لا يقدمانها.