谷歌员工提议将HTTPS证书有效期缩短至13个月

　　8月14日消息 众所周知，HTTPS证书主要用于加密浏览器和站点之间的连接，并帮助软件确定没有人篡改或窃听这些连接！而据最新消息显示，行业团体CA/Browser Forum似乎正考虑将HTTPS证书的有效期从27个月缩短到13个月。

　　据悉，如果减少TLS/SSL证书有效的时间，网站必须更频繁地更新其证书。理论上，这样的证书有效期也有助于减少欺诈活动，如果是偷来的证书则很快会失效，被遗弃的网站也会更快地过期。这将迫使他们使用最新和最推荐的加密和散列证书，而不是使用不安全算法的老化证书。

　　但DigiCert的Timothy Hollebeek却反对将证书有效期缩短至13个月，其认为缩短证书寿命确实带来的好处，也意味着要有更好的方法来确保证书是最新的和安全的，且存在一些麻烦，企业不得不每年续签一次付费证书，并且增加其成本。

　　换句话说，减少有效期可能会促使企业免费使用Let‘s Encrypt TLS/SSL，就不会向Digicert这样的机构支付费用！Let’s Encrypt可以免费发放90天的HTTPS证书，使用提供的软件客户端来自动更新和部署证书，而由于几乎所有浏览器和操作系统都支持Let‘s Encrypt TLS/SSL证书，导致该服务正给向HTTPS证书收费的证书颁发机构带来巨大压力。

　　按照Hollebeek的说法，“将证书寿命迅速缩短到一年，甚至更少，对于许多依赖数字证书保护系统的公司来说，这将带来巨大的成本。这些费用不会换来更加安全的改进，并且这项提案对从事非法活动或冒充合法公司的非法分子不会有任何影响。最主要的一点是，减少证书寿命的任何好处都是属于理论性的，在短期内要付诸实际的话，产生的风险和成本也将难以预测。”

　　从目前已知的情况来看，该提案于今年早些时候在谷歌员工Ryan Sleevi的一次会议上提出，尚处于草案阶段，还没有关于何时进行表决的消息。值得一提的是，CA/Browser Forum在2017年就否决了一项将证书有效期从39个月缩短至13个月的提案！此事的后续进展，我们也将继续关注。