Кратко

  • 9 ноября 2015 года Let’s Encrypt установила предел в 90 дней и рекомендовала продление на 60-й день: сократить срок действия после компрометации ключа или ошибочной выдачи и сделать автоматизацию частью работы HTTPS.
  • Через три дня сообщение об открытой бета-версии указало, что ограниченная бета уже выпустила более 11 000 сертификатов; там же признавалось, что клиентский опыт ещё нужно было отладить на разных платформах.

Разбор

Дата окончания действия сертификата может тихо храниться в файле, пока не превратится в операционный срок для сайта. Поле notAfter входит в подписанный сертификат. RFC 5280 определяет период действия от notBefore до notAfter включительно. После конечной даты службе нужен новый сертификат, который она действительно будет использовать.

9 ноября 2015 года Josh Aas, исполнительный директор Internet Security Research Group, объяснил, почему Let’s Encrypt не собиралась выдавать сертификаты сроком более 90 дней. У лимита было две задачи. Украденный закрытый ключ или ошибочно выданный сертификат оставался бы действительным меньше времени. А более частое продление должно было подталкивать к автоматизации, которую Aas называл необходимой для удобного HTTPS.

Рекомендация продлевать сертификат на 60-й день придаёт решению конкретный вид. Let’s Encrypt не предлагала ждать последнего дня. До 90-дневного предела оставался примерно месяц, чтобы заметить сбой и вмешаться вручную. Aas писал, что сервис ещё молод, а многие подписчики только осваивают автоматизацию. Срок должен был сделать программное обновление важным, сохранив время для ручного восстановления.

Хронология показывает стадию проекта. 12 ноября Aas сообщил, что ограниченная бета началась 12 сентября и к тому моменту выпустила более 11 000 сертификатов. Открытая бета была назначена на 3 декабря. В том же сообщении автоматизация называлась основой стратегии, но отмечалось, что клиентский опыт ещё нужно улучшить для множества платформ. Выпуск сертификатов уже шёл в масштабе беты; надёжное обновление в разных средах оставалось задачей.

Аргумент Let’s Encrypt был прямым: нельзя ожидать, что администраторы будут вручную продлевать сертификаты для всего Интернета. Если выдача и продление автоматизированы, сокращение срока не добавляет повседневной работы человеку, который обслуживает сайт. Защитный интервал и эксплуатационная модель были частями одного выбора: срок короче, значит клиентское ПО должно успевать его обновлять.

Ручное продление оставалось доступно, но служило путём восстановления. Обычная работа зависела от клиента, расписания, совместимости с платформой и фактической установки нового сертификата. Шестьдесят дней задавали календарный срок; автоматизация должна была превратить его в повторяемую процедуру для множества серверов.

Число из бета сообщает, сколько сертификатов было выдано к 12 ноября. Оно не считает успешные или неудачные продления. Датированный ряд результатов позволил бы оценить запас на ручное вмешательство; в двух объявлениях такого ряда нет.

Источники