Ecco cosa significa la migrazione per i tuoi certificati e sistemi, soprattutto se utilizzi l'autenticazione client in SSL/TLS certificati.
Che significa questo per te
Per la maggior parte dei clienti SSL, questa migrazione è senza interruzioni. Se il tuo TLS I certificati vengono utilizzati per l'autenticazione standard dei server web HTTPS; i vostri certificati continueranno a funzionare esattamente come previsto anche dopo il passaggio all'emissione dei certificati radice del 2022.
Se i tuoi sistemi dipendono dall'EKU ClientAuth nel tuo TLS certificati, Devi prendere una decisione e hai diverse opzioni da valutare:
- Avete sistemi ancorati alle origini del 2016, ma avete bisogno di fiducia in Chrome? Questo è lo scenario più complesso, che richiede attenzione immediata. Il nostro PKI Gli esperti di soluzioni possono collaborare con voi e/o con il vostro team per definire un percorso pratico da seguire per il vostro ambiente.
- Passa al nostro prodotto Certificato Cliente. Per l'autenticazione del client, utilizzare certificati client dedicati. Questi sono progettati specificamente per questo scopo e non sono influenzati dai requisiti di autenticazione del server di Google Chrome.
- Se la fiducia in Chrome non è un problema, rimanete fedeli alla versione 2016. Se non hai bisogno di fiducia nel browser Chrome, puoi per ora rimanere con le versioni del 2016, ma la fiducia nel browser diminuirà nel tempo, quindi sarà necessario intervenire a breve.
- Utilizzare certificati incrociati per la compatibilità con le versioni precedenti. Se la tua organizzazione necessita di un livello di affidabilità che si ricolleghi alle radici del 2016, ma che al contempo guardi al futuro, i certificati incrociati possono colmare questo divario. Questa è un'ottima opzione per i team con sistemi che dipendono dalla gerarchia radice precedente.
Perché questo sta accadendo
Le radici invecchiano
I certificati radice sono le fondamenta della fiducia digitale. Browser e sistemi operativi mantengono elenchi di certificati radice che riconoscono come affidabili e ogni certificato emesso risale a uno di questi elenchi. Tuttavia, i certificati radice più vecchi comportano un rischio maggiore nel tempo.
Le radici in circolazione da anni sono soggette a una maggiore esposizione, con conseguenti maggiori opportunità per l'emergere di vulnerabilità crittografiche e un enorme potenziale di utilizzo improprio. Questo è uno dei motivi principali per cui il settore ha progressivamente ridotto la durata di validità dei certificati e spinto le autorità di certificazione a modernizzare le proprie gerarchie di fiducia. I browser privilegiano sempre più le radici più recenti e ben gestite. La migrazione alle nostre radici del 2022 mantiene l'SSL allineato alla direzione intrapresa dal settore e garantisce che i vostri certificati siano considerati affidabili dai browser moderni.
Il fattore cromo
Il programma Root di Chrome impone che il pubblico TLS I certificati includono solo l'utilizzo esteso della chiave di autenticazione del server (EKU). Per anni, è stata prassi comune emettere TLS certificati che includono anche l'EKU ClientAuth, consentendo così a un singolo certificato di gestire sia l'autenticazione del server che quella del client. Chrome ha stabilito che questo doppio utilizzo non è mai stato lo scopo previsto di un certificato pubblico TLS certificato e lo sta gradualmente eliminando.
Poiché i nostri certificati radice del 2016 venivano utilizzati per emettere certificati che potevano includere ClientAuth EKU, SSL sta rimuovendo tali certificati radice dagli archivi di attendibilità pubblici e sta passando all'emissione dei certificati radice del 2022. I certificati emessi dai certificati radice del 2022 includeranno solo l'autenticazione server, in piena conformità con i requisiti di Chrome.
Siamo qui per aiutare
Sia che tu debba migrare a un prodotto di certificati client, esplorare opzioni di certificati incrociati o creare un piano di transizione attorno alla tua infrastruttura esistente, SSL PKI Gli esperti sono pronti ad aiutarvi a trovare la soluzione più adatta alla vostra organizzazione.
Se non siete sicuri di come questa modifica influisca sulla distribuzione dei vostri certificati, o se avete bisogno di aiuto per valutare le opzioni disponibili, contattate oggi stesso il nostro team per discutere delle vostre esigenze specifiche o per ricevere assistenza immediata nella definizione della vostra strategia di migrazione.
