Sectigo 網誌
谷歌宣布擬將 TLS 證書有效期限制為 47 天：為何自動化證書生命週期管理（CLM）至關重要
證書有效期縮短的趨勢最早可追溯至 2019 年Sectigo 此前已預測到這一趨勢。近年來，公網 TLS（也稱 SSL）證書的最長有效期已從三年降至兩年，再降至一年；如今谷歌表示，計劃進一步將該有效期縮短至 47 天。
本文中，Sectigo 團隊將說明：該公告的含義、其對證書管理的影響，以及自動化證書管理的重要性和落地方法。
谷歌發布 47 天有效期證書公告及其影響
谷歌表示將透過「未來的政策更新或 CA/B 論壇投票提案」推行該要求，這是一個值得留意的細微但重要的細節。谷歌的態度似乎是：如果 CA/B 論壇選擇透過投票流程推動這一業界變革，當然很好；但即便不通過該流程，谷歌也準備單方面推動這一變更——將其列為 Chrome 根計劃的要求，這將使其成為所有商業公網證書頒發機構（CA）都必須遵守的事 實上的標準。由於瀏覽器可自行決定根計劃的要求，即便沒有 CA/B 論壇的強制規定，這一變更也可落地。
谷歌特意提前公布這一計劃，是為了給業界和證書使用者留出時間，為這一必然的過渡及其帶來的影響做好準備。
對於首席資訊安全官（CISO）及其團隊而言，最直接的影響是如何管理有效期更短的數碼證書。手動管理證書將不再可行，因此必須開始考慮轉向自動化管理。
手動續期證書的風險
儘管從技術層面來說，企業仍可以人手管理最長有效期為47天的數碼證書，但人手續期和部署的風險會快速上升。人手管理的風險包括：
容易出錯：續期次數增加意味著人為出錯的機會上升，因為這項任務每年需要完成四次，而非以往的一次。
需要投入大量資源：47天有效期的證書不單會令人為錯誤風險提升至原來的四倍，也會讓IT安全團隊在這項本來就繁重的工作上投入四倍的工作量。
無法擴展：隨著企業發展、需要管理的數碼證書數量增加，人手簽發和續期證書的模式將越來越難以維持。
潛在的服務中斷與數據泄露——數碼證書續期操作不當可能導致SSL/TLS服務中斷和數據泄露。
整體網絡安全風險：惡意行為者一直在使用更複雜的技術攻擊企業網絡安全防護中的薄弱點，可能造成嚴重後果。他們會迅速利用的一個重大漏洞是什麼？就是SSL證書缺失所導致的加密缺位。幾乎所有企業需要管理的數碼證書數量都在快速增長，進一步加劇了上述風險。這並非單張證書每年需要處理四次的問題，而是涉及數十、數百甚至數千張數碼證書。 .
再加上rogue證書、加密決策可見性不足、單節點部署等現有難題，人手管理模式根本無法落實。如今這項工作已經很難靠人手完成，未來仍採用人手管理方式的企業幾乎必然會付出代價。
前進的方向十分明確：是時候實現自動化了。
自動化證書生命週期管理的重要性
惡意行為者往往會先行一步，在數碼證書有效期縮短的背景下，那些沒有重新審視人、機身份管理思路的企業，很容易成為他們的攻擊目標。現在就必須採取行動。歸根結底，企業需要一套端到端解決方案，實現數碼證書全生命週期的規模化自動化管理。
要降低風險，自動化至關重要。這不僅僅是僅涉及證書有效期的縮短，還涉及域名驗證信息重用周期的縮短。目前，Baseline Requirements允許已完成的域名驗證相關數據或文件最長重用398天。谷歌也已表示計劃將域名驗證重用周期縮短至47天，其稱「更及時的域名驗證能夠更好地保護域名所有者，同時降低證書頒發機構（CA）因依賴過時、失效或其他無效信息而錯誤簽發證書、導致證書被濫用的可能性」。這是值得留意的重要細節，因為企業不僅要管理系統中的數碼證書，還必須每47天重新驗證一次域名。
如何實現證書簽發與續期的自動化
借助合適的工具和平台，證書管理自動化可以成為順暢無阻的流程。首先，選擇一款與CA無關的證書生命週期管理（CLM）平台是關鍵。這類證書管理解決方案可幫助企業在大規模的IT環境中發現所有數碼證書（無論其簽發的證書頒發機構（CA）是誰），在證書即將到期時發送提醒，並自動完成續期證書、替換證書的配置和安裝。通過上述能力，這類平台可以幫助避免因數碼證書使用或續期不當導致的服務中斷和數據泄露，同時讓團隊能夠在統一的集中位置輕鬆追蹤所有證書的生命週期。
適配更短的證書有效期
在轉向自動化管理的過程中，選擇來自可信證書頒發機構（CA）的CLM產品十分重要。Sectigo正是合適的選擇。Sectigo Certificate Manager（SCM）是市場上功能最完善的與CA無關的CLM產品。SCM旨在為所有數碼證書提供全生命週期自動化管理能力，無論證書來自哪個簽發方。SCM支援：
Automated Certificate Management Environment (ACME) 協議。
Secure Certificate Enrollment Protocol (SCEP)。
Enrollment Over Secure Transport (EST)。
一款專有自動化工具，支援管理多種系統內的證書，涵蓋 Apache Tomcat、Windows IIS 網頁伺服器以及 F5 Big-IP 負載均衡器。
REST API：部分企業希望將自有應用與 Sectigo 進行更深度的整合，使用 Sectigo 的 REST API 即可實現該需求。
SCM 還可與眾多技術廠商的產品整合。IT 團隊不僅能夠自動化頒發和管理其他公有證書頒發機構（CA）及私有證書頒發機構（CA）（如 Microsoft Active Directory Certificate Services (ADCS)、AWS Cloud Services、Google Cloud Platform (GCP)）簽發的證書，也可以對 Sectigo 數碼證書執行相同的自動化操作。
除此之外，該平台還支援與 Kubernetes、Docker、HashiCorp 等主流 DevOps 平台整合，兼容亞馬遜、谷歌、F5、A10 Networks、Kemp 等主流負載均衡平台，Akamai、亞馬遜等常用 CDN，甚至包括 Microsoft Teams、Slack 等通知類應用在內的十多種主流技術產品。
了解為何 Sectigo Certificate Manager 是業界首款、功能最全面的CA 無關型證書生命週期管理（CLM）產品.
歡迎下載我們的網絡研討會資料了解更多關於47天證書有效期的內容