Waarom browsers oudere root-CA's wantrouwen 

Laat u niet verrassen door onvoorzien browserwantrouwen  Als u SSL/TLS certificaten voor uw organisatie, hebt u misschien gehoord dat browsers oudere browsers steeds minder vertrouwen root certificatenDit is een fundamentele beleidswijziging die mogelijk gevolgen kan hebben voor apparaten en services die afhankelijk zijn van oudere trust stores. Maar met een goede planning en de juiste partner van certificeringsinstantie (CA)kunt u deze overgang soepel laten verlopen en uw activiteiten toekomstbestendig maken. 

Ons technische ondersteuningsteam is 24/7 beschikbaar om u te helpen inzicht te krijgen in uw aangepaste certificaatopties en om uw migratiestrategie te plannen.

Bezoek SSL.com/support of bel direct onze experts
 

Wat gebeurt er met het wantrouwen van oudere rootcertificeringsinstanties? 

De 15-jarige SSL-certificaatregel uitgelegd  Grote browserleveranciers, met Mozilla en Google Chrome voorop, hebben een nieuw beleid geïmplementeerd dat rootcertificaten automatisch wantrouwt wanneer hun cryptografische sleutels hun 15 jaar merk.

Hoewel dit op het eerste gezicht een willekeurig getal lijkt, is het een berekende beveiligingsmaatregel die ervoor moet zorgen dat de infrastructuur voor internetbeveiliging voorop blijft lopen wat betreft de meest recente en zich ontwikkelende cyberbeveiligingsbedreigingen. 

In de praktijk betekent dit dat de vertrouwenssignalen op de websites van rootcertificaten die ouder zijn dan 15 jaar, worden verwijderd. S/MIME Certificaten hebben een limiet van 18 jaar voordat ze niet meer vertrouwd worden, en digitale certificaten voor twee doeleinden die beide TLS en S/MIME moeten uiterlijk 31 december 2028 gescheiden zijn. 

Het beleid geeft certificaatautoriteiten ongeveer 10 jaar actief gebruik van de vertrouwensarchieven van browsers. Dit komt overeen met de 2 tot 3 jaar die doorgaans nodig zijn om brede opname in browsers te bereiken en de tijd die nodig is voor soepele overgangen. 

Waarom browservertrouwen van belang is voor Enterprise SSL-certificaten 

Wanneer een rootcertificaat niet wordt vertrouwd, wordt elk certificaat dat door die roothiërarchie wordt uitgegeven, ook niet langer vertrouwd. Dit cascade-effect kan ertoe leiden dat er beveiligingswaarschuwingen worden weergegeven aan de bezoekers van uw website, wat mogelijk leidt tot verlies van vertrouwen bij de consument en omzetverlies. Dit vereist dringende herstelmaatregelen die eerder hadden kunnen worden genomen om verstorende gevolgen voor de bedrijfsvoering te voorkomen. 

SSL.com is een actieve deelnemer aan de CA / Browser Forum en neemt proactieve stappen om veranderingen in het trust store-beleid voor te blijven. We hebben onze rootcertificaatserie voor 2022 gelanceerd, speciaal ontworpen om te voldoen aan de huidige en toekomstige browservereisten. 

De rol van root trust stores: Inzicht in Trust Store Management

Trust stores zijn opslagplaatsen met vertrouwde rootcertificaten die fungeren als de ultieme autoriteit voor de certificaatvalidatieketen voor alle verbonden apparaten en applicaties. Elk besturingssysteem, elke browser en elke applicatie onderhoudt een eigen trust store, die dient als referentiepunt om te bepalen of een certificaat vertrouwd kan worden.

Als het basiscertificaat echter ontbreekt, verouderd is of is verwijderd vanwege wantrouwenbeleid, mislukt het hele validatieproces.

De gevaren van verouderde trust stores

Organisaties onderschatten vaak de risico's die gepaard gaan met verouderde trust stores, met name in omgevingen met diverse apparaatecosystemen. Ze kunnen aanzienlijke operationele verstoringen veroorzaken, waaronder: 

• Veelvoorkomende fouten bij het valideren van certificaten in interne systemen
• Het onvermogen om veilige verbindingen tot stand te brengen met externe partners en diensten
• Compliance-problemen in gereguleerde sectoren waar veilige communicatie verplicht is
• Potentieel inkomstenverlies

Het probleem wordt met name acuut bij oudere apparaten en embedded systemen die mogelijk geen regelmatige trust store-updates ontvangen. Industriële IoT-apparaten, oudere mobiele apparaten, oudere serversystemen en gespecialiseerde apparatuur werken vaak met trust stores die al jaren niet zijn bijgewerkt, waardoor ze kwetsbaar zijn voor validatiefouten wanneer nieuwere certificaten worden geïmplementeerd.

Proactieve strategieën voor trust store management

PKI Beheerders en apparaatbeheerders kunnen verschillende proactieve stappen ondernemen om problemen met truststores te voorkomen. Overweeg de implementatie van een uitgebreid truststore-auditproces door alle apparaten en systemen in uw omgeving te catalogiseren, hun updatemechanismen en -schema's te documenteren, apparaten te identificeren die handmatige updates vereisen en een basisinventarisatie van vertrouwde rootcertificaten voor alle systemen op te stellen. Regelmatige communicatie met apparaatfabrikanten en softwareleveranciers over updateschema's voor truststores kan uw organisatie ook helpen potentiële problemen voor te blijven.

Het is ook aan te raden om een systematische updatestrategie te ontwikkelen die waar mogelijk automatisering van trust store-updates omvat, testprotocollen voor validatiewijzigingen en terugdraaiprocedures in geval van compatibiliteitsproblemen.

SSL.com's 2022 rootcertificaten 

Onze moderne rootcertificaten zijn gebouwd voor de toekomst en helpen uw bedrijf onverwachte verstoringen te voorkomen dankzij geoptimaliseerd vertrouwen en verbeterde beveiliging: 

SSL.com TLS RSA Root CA 2022 

• SHA256 Fingerprint: 8FAF7D2E2CB4709BB8E0B33666BF75A5DD45B5DE480F8EA8D4BFE6BEBC17F2ED 
• Geoptimaliseerd voor serverauthenticatie
• Volledige browser-alomtegenwoordigheid bereikt 

SSL.com TLS ECC Root CA 2022

• SHA256 Fingerprint: C32FFD9F46F936D16C3673990959434B9AD60AAFBB9E7CF33654F144CC1BA143 
• ECC-gebaseerd voor verbeterde beveiliging en prestaties 
• Toekomstbestendige cryptografische algoritmen 

Trust Store-dekking  Onze roots in 2022 hebben geleid tot een alomvattend vertrouwen op alle belangrijke platforms, waaronder Google Chrome (inbegrepen in maart 2024), Mozilla Firefox (inbegrepen in NSS 3.92), Microsoft Windows (toegevoegd in november 2023), Apple-platforms (macOS, iOS), Linux-distributies (Ubuntu, Red Hat, enz.) en Java-omgevingen (Oracle, IBM). 

Een 4-stappenplan om uw organisatie te beschermen tegen wantrouwen van oudere root-certificeringsinstanties 

Stap 1: Beoordeel uw huidige certificaatinventaris 

Voordat u wijzigingen aanbrengt, is het essentieel om inzicht te hebben in uw huidige certificaatlandschap. Catalogiseer alle SSL/TLS certificaten in uw organisatie, identificeer de rootcertificaathiërarchieën voor elk certificaat, controleer vervaldatums en vernieuwingsschema's en documenteer eventuele oudere apparaten die compatibiliteitsvereisten hebben. 

Pro Tips: Gebruik onze certificaatcontroletool or neem contact op met ons ondersteuningsteam voor een uitgebreide audit van uw certificaatportfolio. 

Je kunt ook toevoegen SSL.com's Health Check Monitoring Hulpmiddel voor het beheren van certificaten, inclusief automatische meldingen aan websitebeheerders over naderende vervaldatums van certificaten, zodat tijdige verlengingen worden gewaarborgd.  

Stap 2: Plan uw migratiestrategie  Voor nieuwe certificaataanvragen: 

• Vraag certificaten aan die gekoppeld zijn aan de root-hiërarchieën van SSL.com uit 2022 
• Geef RSA of ECC op op basis van uw beveiligings- en prestatievereisten 
• Zorg ervoor dat uw certificaatservicevertegenwoordiger uw tijdlijn begrijpt 

Voor bestaande certificaten: 

• Plan vernieuwingen zodat ze samenvallen met minder frequente updates van de root-hiërarchie 
• Geef prioriteit aan internetgerichte systemen voor een vroege migratie 
• Maak een testschema voor interne systemen 

Stap 3: Implementeer met vertrouwen  Aanbevolen procedures voor serverconfiguratie: 

Bij apache servers: 

apache 

SSLCertificateFile /pad/naar/uw-certificaat.crt 

SSLCertificateKeyFile /pad/naar/uw-privésleutel 

SSLCertificateChainFile /pad/naar/ssl-com-ca-bundle.crt 

Bij Nginx servers:

nginx 

ssl_certificate /pad/naar/uw-certificaat-met-keten.crt; 

ssl_certificate_key /pad/naar/uw-private.key; 

Pro Tip: Neem altijd de volledige certificaatketen op, inclusief tussenliggende certificaten, om een correcte validatie te garanderen. 

Stap 4: grondig testen (met speciale aandacht voor ondersteuning van oudere apparaten) 

Een van de grootste zorgen bij updates van rootcertificaten is het behoud van compatibiliteit met oudere apparaten die mogelijk geen trust store-updates ontvangen. Dit is met name relevant voor industriële IoT-apparaten, embedded systemen, oudere mobiele apparaten en oudere besturingssystemen. 

Pro Tip: Voer tests uit met echte apparaten in uw omgeving (vooral oudere apparaten) om de installatie van uw certificaat te valideren, te controleren of de certificaatketens compleet en correct geordend zijn en om te controleren op eventuele verbindingsproblemen na de implementatie. 

SSL.com testbronnen: 

• Test RSA 2022 root: https://test-root-2022-rsa.ssl.com/ 
• Test ECC 2022 root: https://test-root-2022-ecc.ssl.com/ 

Handel nu en voorkom verstoringen door browservertrouwen later 

Het wantrouwen van oudere rootcertificeringsinstanties is geen ver-van-mijn-bed-show; het is nu al gaande. Organisaties die proactief plannen, zullen deze overgang soepel laten verlopen, terwijl organisaties die wachten mogelijk te maken krijgen met ernstige verstoringen in hun bedrijfsvoering. 

Het 15-jarige wantrouwenbeleid voor SSL-certificaten is al van kracht voor oudere certificaten. De roots van SSL.com uit 2022 zijn volledig publiekelijk vertrouwd in alle belangrijke browsers en platforms. Proactieve migratie is altijd een gunstigere optie dan reactieve noodoplossingen. Deskundige ondersteuning kan een soepele overgang garanderen en het risico op kostbare verstoringen aanzienlijk verminderen. 

Samenwerken met SSL.com: deskundige begeleiding bij elke stap 

Laat verouderde certificaten uw bedrijf niet in gevaar brengen. De certificaatexperts van SSL.com kunnen u helpen uw huidige certificaatinfrastructuur te beoordelen en een migratieplanning te ontwerpen die past bij uw bedrijf.

Ons team biedt technische ondersteuning gedurende het gehele implementatieproces. We bieden ook continue monitoring en certificaatlevenscyclusbeheer. 

Naast basis SSL/TLS certificaten, SSL.com biedt uitgebreide oplossingen, waaronder meerjarige certificaatplannen met automatische heruitgifte, tools voor levenscyclusbeheer, op maat gemaakte PKI Oplossingen op maat voor bedrijfsomgevingen en 24/7 technische ondersteuning door deskundige certificaatspecialisten. De moderne root-hiërarchieën en het deskundige supportteam van SSL.com staan klaar om u met vertrouwen door deze overgang te loodsen. 

Aan de slag

Bent u klaar om uw certificaatinfrastructuur toekomstbestendig te maken? Neem vandaag nog contact op met SSL.com om uw strategie voor certificaatmodernisering te bespreken en ervoor te zorgen dat uw organisatie een stap voor blijft op het beleid inzake wantrouwen tegen browsers. 

Neem contact op met ons team via verkoop@ssl.com Voor een consult, vraag een certificaataudit aan om migratieprioriteiten te identificeren, of bespreek uw planning en eventuele speciale vereisten verder. Begin met het ontwikkelen van een migratieplan op maat met onze experts. 

Bezoek SSL.com/support of bel direct onze experts

Heeft u nog vragen over uw specifieke certificaatconfiguratie? Ons technische ondersteuningsteam staat 24/7 voor u klaar om u te helpen bij het begrijpen van uw aangepaste opties en het plannen van uw migratiestrategie.